CVE-2026-98432：Ubuntu 6.8 向后移植候选补丁

状态：已通过源码验证的候选补丁。尚未编译、启动测试、安装或发布到上游。

本仓库将 Eric Dumazet 已有的上游修复适配到确切的 Ubuntu Ubuntu-6.8.0-147.147 源码树。本仓库不主张发现了该漏洞， 也不主张上游修复的作者身份。原始作者及上游审查/签署尾注 仍保留在补丁中。未代表任何人声明下游开发者原创证书 （Developer Certificate of Origin）签署。

该变更将 IPv4 选项的释放延迟到 RCU 宽限期结束之后，涉及 inet_sock_destruct() 和 tcp_v4_reqsk_destructor()。这两处语义替换 与上游相同；补丁上下文已适配到 Ubuntu 6.8。

来源

• Eric Dumazet 的原始修复
• 确切的 Ubuntu 基础标签
• 基础提交：0495f811cae0b8b7c718d936a2057b25cee7cf0c
• Ubuntu CVE 状态

在准备时（2026-10-30），Ubuntu 将 Noble 的修复列为在 6.8.0-149.149 中进行中的工作。在开展新工作之前请查阅跟踪器；官方修复 内核可能会取代此候选补丁。

验证源码适用性

要求：Python 3.9+、Git，以及对官方 Ubuntu 源码主机的 HTTPS 访问。

python3 tools/check_backport.py

检查器仅从固定提交中下载三个文件，并在使用隔离的临时检出之前验证它们的 SHA-256 哈希值。它检查补丁应用、RCU 回调字段是否存在、两处确切的源代码替换、反向应用，以及对重复应用的拒绝。可以在不修改现有源代码树的情况下使用它：

python3 tools/check_backport.py --source-dir /path/to/ubuntu-noble

源哈希有意将此检查限制在一个确切的版本上。不同的内核修订版本需要单独审查。git apply --check 并不能确立编译器兼容性或运行时安全性。

CI 中的可选对象编译

随附的 GitHub Actions 工作流会在相关的推送和拉取请求上验证源代码。相关的推送还会获取完整的固定 Ubuntu 树、应用候选补丁、配置带 MPTCP 的 x86-64 内核，并编译两个已更改的翻译单元。手动 Run workflow 条目可以请求相同的编译。首次托管运行未到达运行器，也未执行任何步骤；请参阅 VALIDATION.md 和仓库的 Actions 标签页。本地源代码检查已通过。两个对象的编译不是完整的内核构建，也不是运行时测试。

生产内核之前的发布门禁

1. 对照完整的 Ubuntu 树进行审查，并确认先决条件和许可。
2. 使用预期的 Ubuntu 配置构建完整的可安装内核包。
3. 在具有串口/控制台恢复功能的隔离一次性虚拟机中启动这些包。
4. 针对 TCP、IPv4 选项、IPv6 和 MPTCP 运行网络回归测试；针对目标测试使用适当的内核诊断工具，例如 KASAN/KCSAN。
5. 审查 ABI、签名/Secure Boot、initramfs、包命名和回滚行为。
6. 如果目标项目的贡献流程要求，获取维护者审查以及来自实际提交者的真实 DCO 签署。

生产安装不在本仓库的脚本范围内。当官方 Ubuntu 安全更新可用时，优先使用它。现有的临时网络过滤仍是一项单独的措施，不是内核补丁。

验证证据与隐私

有关确切已完成和缺失的检查，请参阅 VALIDATION.md。此处没有漏洞利用或竞态触发测试。不包含任何生产 IP、服务名称、凭据、客户数据、SSH 密钥或运维日志。

内核补丁的许可和原始 trailer 保留自上游。检查器和工作流依据 GPL-2.0-only 分发；许可证文本和内核许可元数据位于 LICENSES/GPL-2.0.txt。