灾难级漏洞 https://t.co/t0gGtjCIWJ

Linux 2026 年 10 月 TCP 释放后使用漏洞：CVE-2026-98432 — Atlas

来源：https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#overview)概述

Linux 稳定版内核于 2026 年 10 月 11 日和 15 日发布了针对 CVE-2026-98432 (https://www.cve.org/CVERecord?id=CVE-2026-98432) 的修复，这是一个位于 IPv4 TCP 握手中的释放后使用（use-after-free）漏洞，远程未认证的对端即可触发。内核自身的 CVE 编号机构（CNA）给出的 CVSS 3.1 评分为 9.8，严重（Critical）。修复版本包括 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10 以及 7.3，该漏洞最早可追溯到 Linux 4.4。上游修复只有四行改动，但大多数服务器运行的是发行版内核，而截至 10 月 31 日美国中部夏令时间下午 5:15，Ubuntu 的追踪页面对其所有发行版的内核仍标注为“Vulnerable（存在漏洞）“；如今同样将该漏洞评为 Critical 的 Red Hat 也列出 RHEL 8、9 和 10 受影响且尚无修复。

**为什么紧急：**这个漏洞位于每台 Linux 服务器在接受 IPv4 TCP 连接时都会运行的代码中，早于任何应用程序看到该连接。报告该漏洞的 Anthropic 研究员表示，其 Claude 模型编写了一个可运行的概念验证（PoC） exploit，能够在“启用了多路径 TCP 监听器的 Linux 服务器“上以 root 身份执行命令，且无需任何凭据。Go 安全团队指出，Go 程序默认就会打开这类监听器。参见时间线 (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#timeline-and-exploitation-status)。

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#key-facts)关键信息

字段详情CVECVE-2026-98432，“ipv4: free inet_opt and ireq_opt after an RCU grace period”，由 Linux 内核 CNA 发布严重等级严重，CVSS 3.1 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H），为内核 CNA 的评分。Red Hat 同样评为严重，CVSS 3.1 9.8，于 10 月 30 日从 Important（8.1）上调。SUSE 评为 important，Ubuntu 评为 High，Oracle 和 Amazon 评为 Important，CVSS 3.1 8.1。弱点TCP 握手过程中 IPv4 选项数据的释放后使用（记录中未列出 CWE）影响根据 CNA 的评分说明：内核堆内容泄露给远端对端、内核内存破坏或系统崩溃。Red Hat 公告：远程未认证攻击者“可利用 TCP 连接请求处理过程中的竞态条件触发远程代码执行“。修复版本7.2.10 和 6.18.56（10 月 11 日）· 6.12.113、6.6.159、6.1.190、5.15.223 和 5.10.272（10 月 15 日）· 7.3（10 月 18 日）尚未修复截至 10 月 31 日美国中部夏令时间下午 5:15，Ubuntu（所有发行版）和 Red Hat Enterprise Linux（RHEL）8、9、10 仍未修复。AlmaLinux 的修复内核仍在测试中。在 5.10 之前已停止维护的上游分支不会获得修复。概念验证Anthropic 表示 Claude 为具备多路径 TCP 监听器的服务器构建了一个远程 root exploit。该 exploit 尚未公开。CVE 记录10 月 15 日发布于 cve.org (https://www.cve.org/CVERecord?id=CVE-2026-98432)。截至 10 月 31 日美国中部夏令时间下午 5:15，NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-98432) 标记为“Received“，尚无自己的分析。致谢由 Anthropic 的 Xinyang Ge 报告。由 Eric Dumazet 修复，Kuniyuki Iwashima 审阅，见修复提交记录。

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#who-is-affected)谁受影响

任何从 4.4 起且缺少该修复的 Linux 内核，无论它是直接对外提供服务还是承载容器：容器运行在宿主机的内核之上，换一个新镜像无济于事。IPv6 连接不受主要问题影响；提交说明写道“IPv6 不受第一个问题影响“。

发行版分支2026 年 10 月 31 日状态修复版本发布于Releases7.3主线7.3（来自 7.3-rc7）2026 年 10 月 18 日7.2稳定版7.2.102026 年 10 月 11 日6.18长期支持6.18.562026 年 10 月 11 日6.12长期支持6.12.1132026 年 10 月 15 日6.6长期支持6.6.1592026 年 10 月 15 日6.1长期支持6.1.1902026 年 10 月 15 日5.15长期支持5.15.2232026 年 10 月 15 日5.10长期支持5.10.2722026 年 10 月 15 日4.4 – 5.4上游已停止维护仅有发行版修复—

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#distribution-status)发行版状态

发行版内核以各自的版本号携带移植回来的修复，因此请查看追踪页面，而不是上游版本号。截至 10 月 31 日美国中部夏令时间下午 5:15：

• **Ubuntu：**追踪页面 (https://ubuntu.com/security/CVE-2026-98432) 在所有发行版上都将 linux 包标注为“Vulnerable“。在 26.10、26.04、24.04 和 22.04 上，它在 7.3.0-10.10、7.0.0-43.43、6.8.0-149.149 和 5.15.0-203.213 中额外标注了“work in progress（修复进行中）“；20.04、18.04 和 16.04 则只显示“Vulnerable”。许多云内核和硬件支持（HWE）内核也被同样列出，且尚未发布任何 Ubuntu Security Notice。
• **Red Hat：**自 10 月 30 日起评为严重，CVSS 3.1 9.8。RHEL 8、9 和 10 以及 OpenShift Container Platform 4 和 5 均被列为受影响且无修复；RHEL 6 和 7 不受影响（CVE 页面 (https://access.redhat.com/security/cve/CVE-2026-98432)）。其公告 RHSB-2026-016 (https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) 表示“Red Hat 正在加快发布修复“，提供了一个 nftables 缓解措施（下文有对比 (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#if-you-can-t-patch-yet)），并指出任何依赖 RHEL 内核的产品，包括 RHEL CoreOS，“也可能受到影响”。
• **AlmaLinux：**AlmaLinux 8、9 和 10 的修复内核（kernel-4.18.0-553.180.2.el8_10、kernel-5.14.0-687.61.2.el9_8 和 kernel-6.12.0-211.69.2.el10_2）自 10 月 30 日起已进入其测试仓库，早于 RHEL。AlmaLinux 将在社区测试后将其转入生产仓库，其勘误公告目前尚未列出这些内核（公告 (https://almalinux.org/blog/2026-10-30-cve-2026-98432/)）。
• **Debian：**已在 12 “bookworm”（6.1.190-1，DLA-4841-1，以及 linux-6.12 的 6.12.113-1~deb12u1，DLA-4850-1）、13 “trixie”（6.12.113-1，DSA-6568-1）和 unstable 中修复（追踪页面 (https://security-tracker.debian.org/tracker/CVE-2026-98432)）。
• **SUSE：**评为 important。SUSE Linux Enterprise Server 16.0（kernel-default 的 6.12.0-160000.40.1）以及 15 SP4、SP5 和 SP6 的 LTSS 内核已修复；15 SP7 修复进行中。openSUSE Leap 16.0 已修复，Leap 15.6 被列为受影响（CVE 页面 (https://www.suse.com/security/cve/CVE-2026-98432/)）。
• **Oracle Linux：**评为 Important，CVSS 3.1 8.1。Oracle Linux 7、8、9 和 10 的 Unbreakable Enterprise Kernel（UEK）勘误于 10 月 16 日发布：ELSA-2026-500397、ELSA-2026-500398 和 ELSA-2026-500399（CVE 页面 (https://linux.oracle.com/cve/CVE-2026-98432.html)）。该页面仅列出了 UEK 内核。
• **Amazon Linux：**评为 Important，CVSS 3.1 8.1，所有内核均已修复。在 Amazon Linux 2023 上，默认的 kernel（ALAS2023-2026-3365，10 月 30 日）、kernel6.12（ALAS2023-2026-3335，10 月 29 日）和 kernel6.18（ALAS2023-2026-3251，10 月 24 日）。在 Amazon Linux 2 上，核心 kernel（ALAS2-2026-4065）以及 5.4、5.10 和 5.15 Extras 内核（ALAS2KERNEL-5.4-2026-135、ALAS2KERNEL-5.10-2026-137 和 ALAS2KERNEL-5.15-2026-120），均于 10 月 30 日发布（CVE 页面 (https://explore.alas.aws.amazon.com/CVE-2026-98432.html)）。

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#how-the-vulnerability-works)漏洞原理

当 Linux 服务器接受一个 TCP 连接时，内核先用一个轻量级的“请求套接字（request socket）“跟踪半开的握手状态，握手完成后才创建完整的套接字。如果连接方的 IPv4 首部携带了选项，内核会保存这些选项以便在回复中回显。问题在于：内核把从请求套接字继承的这些已保存选项直接交给了新连接，而没有复制它们，随后在连接销毁时立即释放了它们，而此时另一个 CPU 可能仍在读取这些数据来构建握手回复。读取已释放的内核内存就是释放后使用（use-after-free）。

攻击方无需登录，整个过程都发生在内核的握手处理中，早于任何应用程序代码执行。CNA 的评分说明指出，这些过期数据可以把内核堆内存泄露回对端、将内核写操作引向越界位置，或使机器崩溃。Anthropic 表示，竞态失败“只会导致握手失败而不会使整个系统崩溃，因此坚定的攻击者可以无限次重试直到成功“。

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#the-fix)修复方式

Eric Dumazet 的提交“ipv4: free inet_opt and ireq_opt after an RCU grace period“把两处普通的 kfree() 调用改为 kfree_rcu()，后者会等待所有读者都用完这块内存后才真正释放。其他替换这些选项的代码路径本来就已如此处理。该提交还修复了请求套接字迁移（net.ipv4.tcp_migrate_req=1，或使用 BPF_SK_REUSEPORT_SELECT_OR_MIGRATE 程序）中的相同问题，并表示一个相关的 IPv6 情况“将在单独的补丁中解决“。

torvalds/linux · e3f33b0 · 2026 年 10 月 1 日

net/ipv4/af_inet.c

新增 1 行，删除 1 行

net/ipv4/tcp_ipv4.c

新增 1 行，删除 1 行

共 2 个文件变更，新增 2 行，删除 2 行

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#which-servers-are-exposed)哪些服务器暴露在外

• **每一台在受影响内核上接受 IPv4 TCP 连接的 Linux 主机：**Web 服务器、SSH、数据库、负载均衡器和 Kubernetes 节点。CNA 的说明指出，漏洞路径“在 TCP 握手期间、应用认证之前“运行。
• **具有多路径 TCP（MPTCP）监听器的主机首当其冲。**这正是 Anthropic 可用 exploit 所需的环境：“启用了多路径 TCP 监听器的 Linux 服务器”。Anthropic 尚未说明为什么这种监听器很关键，CVE 记录也未提及 MPTCP。服务器只有在某个应用打开了 MPTCP 套接字时才会存在这种监听器，而 Go 程序默认就会这样做：Go 安全团队表示“从 Go 1.24 起，Go 程序在 Linux 上默认为监听套接字启用 MPTCP“。该默认行为取决于程序 go.mod 中的 go 行，且仅在内核允许 MPTCP 时生效（net.mptcp.enabled = 1，例如我们检查的 Debian 12 内核；AlmaLinux 表示其默认关闭 MPTCP）。Go 团队还补充道：“底层 bug 并非 MPTCP 特有。没有 MPTCP 监听器的系统也可能受到类似攻击。“检测方法见下文 (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#check-for-multipath-tcp-listeners)。

**Red Hat 现在的评级与 CNA 一致。**它于 10 月 30 日将该漏洞从 Important（8.1）上调至 Critical（9.8），理由是“无需任何网络前提条件，且可能导致严重的系统不稳定“。其公告指出“接受入站 TCP 连接的系统受到的影响最为直接“。

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#how-to-check-your-systems)如何检查你的系统

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#check-the-kernel)检查内核

将结果与上文你的发行版状态 (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#distribution-status) 进行比对，而不是与上游版本号比对。如果已安装的内核比正在运行的内核更新，那么在重启之前修复不会生效。请在容器宿主机和 Kubernetes 节点上运行这些命令，而不是在容器内部：容器报告的是宿主机的内核。我们在一台 Debian 12 宿主机和一个 Rocky Linux 9 容器中进行了测试。

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#check-for-multipath-tcp-listeners)检查多路径 TCP 监听器

ss -M 只列出 MPTCP 套接字，因此结果为空就意味着没有 MPTCP 监听器。仅有 net.mptcp.enabled = 1 并不会凭空创建监听器：必须有应用打开了 MPTCP 套接字。我们在一个 Debian 12 容器中使用 iproute2 6.1 对两者都进行了测试，ss -Mlnp 列出了一个测试用的 MPTCP 监听器，同时跳过了旁边一个普通 TCP 监听器。在 10 月 31 日的测试中，它还列出了一个 go.mod 中写着 go 1.24 的 Go HTTP 服务器，并跳过了用 go 1.23 构建的同一个服务器。

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#how-to-fix)如何修复

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#update-the-kernel-and-reboot)更新内核并重启

一旦你的发行版发布修复内核就立即安装，然后重启：内核更新要等到机器用新内核启动后才生效。容器宿主机和 Kubernetes 节点同样需要重启。捆绑内核的设备（appliance）和云镜像需要等待厂商的更新。

在 Debian、SUSE Linux Enterprise Server 16.0 和 15 的 LTSS 版本、openSUSE Leap 16.0、Oracle Linux 的 UEK 内核以及 Amazon Linux 2 和 2023 上，修复已经发布。AlmaLinux 的修复在其测试仓库中。在 Ubuntu 和 RHEL 上，截至 10 月 31 日美国中部夏令时间下午 5:15，修复尚未发布。请关注上文列出的追踪页面 (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#distribution-status)。自己编译内核的用户？请切换到对应分支已修复的稳定版本。

# (https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#if-you-can-t-patch-yet)暂时无法打补丁时

Red Hat 的公告 (https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) 和 AlmaLinux (https://almalinux.org/blog/2026-10-30-cve-2026-98432/) 现在都公布了 nftables 规则，用于丢弃携带 IP 选项的入站 IPv4 TCP 包。Red Hat 表示其规则“降低了该漏洞的暴露面，但无法完全阻止攻击“。以下是 Atlas 的临时建议，与 AlmaLinux 的规则相同，其依据是 CNA 的评分说明——说明中指出攻击方会在其 SYN 中提供 IPv4 Record Route 或 Timestamp 选项。TCP 流量几乎从不合法携带 IPv4 选项，因此丢弃带有选项的 TCP 包应当没有代价：

ip hdrlength gt 5 匹配任何长于 20 字节最小长度的 IPv4 首部，而只有选项才能让首部变长。该规则在连接跟踪之前运行，且不涉及 IPv6 或非 TCP 流量。我们在一个 Debian 12 容器中测试过：它丢弃了一个携带 Record Route 选项的 SYN，同时普通 TCP 连接依然正常。我们没有针对 exploit 进行测试，它也不能修复内核。该规则在重启后失效，如果重启后进入的是已修复的内核，这没有问题；用 nft delete table ip cve_2026_98432 可以移除它。如果你的边界防火墙能够丢弃带选项的 IPv4 包，在那里做可以保护其后的所有主机。

如果你使用 iptables 管理防火墙，这条规则可以完成同样的工作，它作用于 raw 表，该表同样在连接跟踪之前运行：

u32 匹配模块读取 IPv4 首部长度字段，取值为 6 到 15 就意味着首部携带选项。我们使用 iptables 1.8.9 在 Debian 12 容器中对其 nf_tables 和 legacy 两种后端都进行了测试：它丢弃了发往宿主机的 Record Route SYN 以及经由宿主机转发的 SYN，同时普通 TCP 连接依然正常。将命令中的 -I 换成 -D 再执行一次即可移除；与 nft 规则一样，重启后失效。它需要内核的 xt_u32 模块，Debian 12、Ubuntu 22.04 和 24.04 以及 RHEL 8 的内核都包含该模块。RHEL 9 和 10 的内核及其重构版则没有包含，因此在这些系统上请使用 nft 规则。

Red Hat 的规则挂在 input 链上；我们的规则挂在 prerouting 链上，因此它也能丢弃宿主机转发给容器的数据包。10 月 31 日我们使用两对网络命名空间进行了测试。它丢弃了在其中一对之间路由的 Record Route SYN，而对另一对之间桥接的包则从未见到——正如 AlmaLinux 所警告的：“同一宿主机上容器之间的流量可能会绕过它。“AlmaLinux 还建议不要在依赖 CIPSO 安全标签的网络中使用它，因为这类标签正是通过 IPv4 选项传输的。

**如果你不使用多路径 TCP，就把它关掉。**这能移除 Anthropic exploit 所需的环境，但并不修复漏洞本身。AlmaLinux 的步骤：

新的 MPTCP 套接字会