CVE-2026-98432 का समाधान: लिनक्स कर्नेल IPv4 SYN यूज़-आफ्टर-फ्री कमज़ोरी

लिनक्स कर्नेल के IPv4 TCP कोड में एक गंभीर यूज़-आफ्टर-फ्री कमज़ोरी की पहचान की गई है, जिसे CVE-2026-98432 (CVSS स्कोर 9.8) के रूप में सूचीबद्ध किया गया है। यह समस्या तब उत्पन्न होती है जब इनपुट SYN पैकेट में मौजूद IPv4 विकल्पों को दो अलग-अलग पाथ्स द्वारा बिना आवश्यक RCU ग्रेस पीरियड का इंतज़ार किए `kfree()` के माध्यम से फ्री कर दिया जाता है, जबकि दूसरा CPU SYNACK तैयार कर रहा होता है।

सुरक्षा ट्रैकर्स के अनुसार, आधिकारिक फिक्स अभी तक कई प्रमुख लिनक्स वितरणों के लिए जारी नहीं किए गए हैं। परिणामस्वरूप, प्रभावित सिस्टम तब तक जोखिम में रहते हैं जब तक आधिकारिक अपडेट लागू नहीं किए जाते या वैकल्पिक उपाय नहीं अपनाए जाते।

समस्या और समाधान की प्रक्रिया

यह रेस कंडीशन मुख्य रूप से `ireq->ireq_opt` को पढ़ने वाले दो पाथ्स के कारण होती है:

• SYNACK निर्माण प्रक्रिया विकल्पों को पढ़ती है।
• चाइल्ड-सॉकेट टियरडाउन या रिक्वेस्ट-सॉकेट माइग्रेशन उन्हीं विकल्पों को फ्री कर देता है।

जब किसी SYN पैकेट में कोई IPv4 विकल्प नहीं होता है, तो `ireq_opt` शून्य (`NULL`) होता है, जिससे यह समस्या नहीं होती। कर्नेल कोड को बदले बिना इस जोखिम को कम करने के लिए एक विशेष `nftables` नियम का उपयोग किया जाता है।

व्यावहारिक शमन रणनीति

उपलब्ध शमन पैक एक अलग `nftables` नियम स्थापित करता है जो आईपी विकल्पों वाले इनबाउंड IPv4 TCP SYN पैकेट को ड्रॉप कर देता है:

• अलग टेबल: यह नियम एक समर्पित टेबल में काम करता है ताकि यह Docker या अन्य डिफ़ॉल्ट नियमों के साथ संघर्ष न करे।
• संचालन प्रभाव: सामान्य TCP ट्रैफिक में शायद ही कभी IP विकल्प होते हैं (RFC 7126 के अनुसार कई नेटवर्क इन्हें वैसे ही ड्रॉप करते हैं), इसलिए इसका परिचालन प्रभाव नगण्य है। हालांकि, दुर्लभ सोर्स-रूटिंग या टाइमस्टॉप प्रोब भेजने वाले वैध क्लाइंट नियम सक्रिय होने पर कनेक्ट नहीं हो पाएंगे।
• खंडित पैकेट (Fragments): यह हुक प्राथमिकता `-300` पर चलता है (कॉनट्रैक डिफ्रैगमेंटेशन `-400` के बाद), जिससे यह सुनिश्चित होता है कि पुनर्गठित पैकेटों की जांच की जा सके।

सत्यापन और परिचालन मॉडल

यह शमन पैक केवल पढ़ने के लिए (read-only) और अस्थायी रूप से काम करता है:

• यह खुद को एक अस्थायी निर्देशिका में रखता है जिसे बाद में हटा दिया जाता है।
• यह वितरण ट्रैकर मेटाडेटा के मुकाबले चल रहे कर्नेल संस्करण का मूल्यांकन करता है।
• चूंकि नियम केवल अस्थिर कर्नेल मेमोरी में रहते हैं और डिस्क पर सहेजे नहीं जाते, इसलिए रिबूट के बाद नियम हट जाते हैं। स्थायी कर्नेल फिक्स स्थापित होने तक सुरक्षा बनाए रखने के लिए रिबूट के बाद डिप्लॉयमेंट स्क्रिप्ट को फिर से चलाना पड़ता है।

स्थिति के परिणाम

• `fixed with workaround`: अनपैच किए गए कर्नेल पर नियम लागू है।
• `vulnerable` / `no_fix`: अनपैच कर्नेल चल रहा है और कोई नियम या अपडेट उपलब्ध नहीं है।
• `fixed`: सत्यापित पैच किया गया कर्नेल चल रहा है (जो स्वचालित रूप से अस्थायी `nftables` नियम को हटा देता है).

कैसे सत्यापित और निगरानी करें

प्रशासकों को आधिकारिक चैनलों के माध्यम से अपनी स्थिति की जांच करनी चाहिए:

1. `uname -r` का उपयोग करके अपने चल रहे कर्नेल संस्करण की जांच करें और इसे अपने वितरण के आधिकारिक सुरक्षा सलाहकार ट्रैकर से मिलाएं।
2. `nftables` नियमों की संगतता सुनिश्चित करने के लिए नेटवर्क कॉन्फ़िगरेशन की समीक्षा करें।
3. हस्ताक्षरित टैग रिलीज़ और सामुदायिक योगदान के लिए आधिकारिक GitHub रिपॉजिटरी (`axisops/CVE-2026-98432`) देखें।

*नोट: यह उपाय समुदाय-संचालित है और आधिकारिक विक्रेता पैच से स्वतंत्र है। उत्पादन प्रणालियों पर लागू करने से पहले हमेशा एक स्टेजिंग वातावरण में सुरक्षा कॉन्फ़िगरेशन का परीक्षण करें।*