CVE-2026-98432: сеть DGN блокирует TCP-пакеты с полем IP Options

CVE-2026-98432 — критическая уязвимость в рукопожатии IPv4 TCP ядра Linux. Собственный орган регистрации ядра оценил её на 9,8 по CVSS 3.1, уровень Critical. DGN Teknoloji включила дополнительный фильтр против этого вектора в сети дата-центра в Бурсе.

Уязвимость срабатывает внутри ядра, когда сервер принимает TCP-соединение по IPv4, ещё до проверки подлинности приложением. Если заголовок IPv4 подключающейся стороны содержит поле IP Options, ядро сохраняет его, чтобы использовать в ответах. Ошибка в том, что сохранённое поле передаётся новому соединению без копирования и сразу освобождается при закрытии соединения, пока другой процессор ещё может его читать. Чтение уже освобождённой памяти ядра — это use-after-free. Удалённой стороне не нужно входить в систему.

По примечаниям к оценке в записи ядра результатом может быть утечка содержимого кучи ядра удалённой стороне, повреждение памяти ядра или сбой машины. Red Hat рассматривает ту же запись прежде всего как сбой, который прерывает сервис, или как возможное повреждение памяти и ставит оценку 8,1. Организация исследователя Anthropic, сообщившего об уязвимости, указывает, что в лаборатории создано доказательство концепции, выполняющее команды на серверах Linux с прослушиванием multipath TCP. Это доказательство концепции не опубликовано. На вечер 29 октября 2026 года запись не входила в каталог известных эксплуатируемых уязвимостей CISA.

Запись опубликована на cve.org 15 октября 2026 года. Исправление основной ветки вошло в стабильные выпуски 11 и 15 октября 2026 года. По сводке Atlas от 29 октября 2026 года исправленные версии: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Ошибка охватывает ядра начиная с Linux 4.4, которые не получили это исправление. Для веток, срок поддержки которых в основной линии закончился до 5.10, исправления основной ветки нет. Дистрибутивы переносят патч под своими номерами версий. В той же сводке часть Debian и SUSE Enterprise уже распространила исправление, а у ядер, которые отслеживает Ubuntu, и у RHEL 8, 9 и 10 исправления ещё не было видно. Эта таблица меняется. Актуальное состояние нужно проверять на странице безопасности самого дистрибутива.

Соединения IPv6, согласно записи об исправлении, первым дефектом не затронуты. Контейнер использует ядро сервера, на котором работает. Обновление только образа контейнера уязвимость не закрывает. Настоящее закрытие — установка исправленного ядра и перезагрузка машины на это ядро.

Мера DGN Teknoloji — не патч ядра и не заменяет обновление на сервере клиента. На сетевых устройствах включены дополнительные фильтры безопасности. TCP-пакеты, которые передаются по IPv4 и содержат поле IP Options, блокируются. Цель — отсечь возможную эксплуатацию на границе сети, сузить вектор атаки и сохранить непрерывность сервиса. Примечания записи ядра указывают, что проблемный трафик несёт параметры IPv4 Record Route или Timestamp во время рукопожатия. Обычный TCP-трафик почти никогда не использует это поле IP.

Обычная работа стандартных TCP-соединений не должна пострадать. MSS, TCP Timestamp, SACK и Window Scaling — это параметры TCP. Фильтр их не затрагивает. Он направлен только на поле IP Options, из-за которого заголовок IPv4 становится длиннее 20 байт.

Это изменение — применение уведомления, уже опубликованного в панели клиента. Фильтры включены, чтобы повысить безопасность сетевой инфраструктуры, снизить вероятность эксплуатации уязвимостей и сохранить непрерывность сервиса. Меры безопасности регулярно обновляются ради защиты инфраструктуры и сервисов клиентов.

Технический разбор, таблицы дистрибутивов и источники — в статье Atlas от 29 октября 2026 года.

https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf

Официальная запись CVE находится здесь.

https://www.cve.org/CVERecord?id=CVE-2026-98432

Клиенты, которые сами управляют операционной системой сервера, должны установить ядро и перезагрузить машину, когда их дистрибутив опубликует исправление. Для входящего трафика IPv4 TCP в сети DGN дополнительный фильтр остаётся вторым слоем, пока это обновление не появится.