TCP Use-After-Free：CVE-2026-98432 / CVSS 9.8

# Linux 2026 年 10 月的 TCP 释放后使用漏洞：CVE-2026-98432 — Atlas 来源：https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf ## 概述 Linux stable 内核于 2026 年 10 月 11 日和 15 日发布了针对 CVE-2026-98432（https://www.cve.org/CVERecord?id=CVE-2026-98432）的修复，这是一个位于 IPv4 TCP 握手流程中的释放后使用（use-after-free）漏洞，远程未认证的对端即可触发。内核自身的 CVE 编号机构（CNA）给出的 CVSS 3.1 评分为 **9.8，Critical**。已修复的版本包括 **5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10** 以及 **7.3**，该 bug 可追溯至 Linux 4.4。上游修复只有四行改动，但大多数服务器运行的是发行版内核；截至 10 月 29 日中部夏令时（CDT）晚 8:00，Ubuntu 的 tracker 对其每个发行版的内核仍标注为 "Vulnerable"，而 Red Hat 列出 RHEL 8、9、10 受影响且尚无修复。 **为何紧急：**该 bug 位于每台 Linux 服务器在接受 IPv4 TCP 连接时都会执行的代码中，早于任何应用层看到该连接。报告此漏洞的 Anthropic 研究员表示，其 Claude 模型编写了一个可运行的 PoC 利用程序，能在"配置了多路径 TCP 监听器的 Linux 服务器"上以 root 身份执行命令，且无需任何凭据。详见时间线（https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#timeline-and-exploitation-status）。 ### 关键信息 | 字段 | 详情 | |---|---| | **CVE** | CVE-2026-98432，"ipv4: free inet_opt and ireq_opt after an RCU grace period"，由 Linux 内核 CNA 发布 | | **严重程度** | Critical，CVSS 3.1 **9.8**（`AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`），为内核 CNA 的评分。Red Hat 评为 Important，CVSS 3.1 8.1（`AC:H`）；SUSE 评为 important；Ubuntu 评为 High；Oracle 和 Amazon 评为 Important，CVSS 3.1 8.1。 | | **弱点类型** | TCP 握手期间 IPv4 选项数据的释放后使用（记录中未列出 CWE） | | **影响** | 根据 CNA 的评分说明：内核堆内容泄露给远程对端、内核内存损坏或系统崩溃。Red Hat："主要导致系统崩溃，从而造成拒绝服务（DoS）或潜在的内存损坏。" | | **修复版本** | 7.2.10 和 6.18.56（10 月 11 日）· 6.12.113、6.6.159、6.1.190、5.15.223 和 5.10.272（10 月 15 日）· 7.3（10 月 18 日） | | **尚无修复** | 截至 10 月 29 日中部夏令时晚 8:00，Ubuntu（所有发行版）、RHEL 8、9、10、Amazon Linux 2 以及 Amazon Linux 2023 的默认内核。在 5.10 之前就已达到生命周期终点的上游分支不会获得修复。 | | **概念验证** | Anthropic 表示 Claude 为带有 MPTCP 监听器的服务器构建了一个远程 root 利用程序。该利用程序尚未公开。 | | **CVE 记录** | 10 月 15 日发布于 cve.org（https://www.cve.org/CVERecord?id=CVE-2026-98432）。NVD（https://nvd.nist.gov/vuln/detail/CVE-2026-98432）截至 10 月 29 日中部夏令时晚 8:00 状态为 "Received"，尚未进行自有分析。 | | **致谢** | 由 Anthropic 的 Xinyang Ge 报告。由 Eric Dumazet 修复，Kuniyuki Iwashima 审阅（依据修复提交）。 | ## 受影响范围 任何缺少该修复的 Linux 4.4 及以上的内核，无论它是直接对外提供服务还是承载容器：容器运行在宿主机的内核之上，更换新的镜像并不能解决问题。IPv6 连接不受主要问题影响；提交说明称"IPv6 不受第一个问题影响"。 | 发行版系列 | 2026 年 10 月 29 日状态 | 修复于 | 发布日期 | |---|---|---|---| | 7.3 | Mainline | **7.3**（自 7.3-rc7 起） | 2026 年 10 月 18 日 | | 7.2 | Stable | **7.2.10** | 2026 年 10 月 11 日 | | 6.18 | Longterm | **6.18.56** | 2026 年 10 月 11 日 | | 6.12 | Longterm | **6.12.113** | 2026 年 10 月 15 日 | | 6.6 | Longterm | **6.6.159** | 2026 年 10 月 15 日 | | 6.1 | Longterm | **6.1.190** | 2026 年 10 月 15 日 | | 5.15 | Longterm | **5.15.223** | 2026 年 10 月 15 日 | | 5.10 | Longterm | **5.10.272** | 2026 年 10 月 15 日 | | 4.4 – 5.4 | End-of-life upstream | 仅发行版修复 | — | ### 发行版状态 发行版内核以各自的版本号承载回移（backport）后的修复，因此请查看对应 tracker，而非上游版本号。截至 10 月 29 日中部夏令时晚 8:00： - **Ubuntu：**tracker（https://ubuntu.com/security/CVE-2026-98432）在所有发行版上都将 `linux` 包列为 "Vulnerable"。在 26.10、26.04、24.04 和 22.04 上，它在 `7.3.0-10.10`、`7.0.0-43.43`、`6.8.0-149.149` 和 `5.15.0-203.213` 中补充了 "work in progress"；20.04、18.04 和 16.04 则只显示 "Vulnerable"。许多 cloud 和 hardware-enablement 内核也以同样方式列出，且尚未发布任何 Ubuntu Security Notice。 - **Red Hat：**RHEL 8、9、10 和 OpenShift Container Platform 4 被列为受影响，尚无修复；RHEL 6 和 7 不受影响（CVE 页面 (https://access.redhat.com/security/cve/CVE-2026-98432)）。Red Hat 表示缓解措施"要么不可用，要么现有可选项不满足 Red Hat Product Security 的标准"。 - **Debian：**已在 12 "bookworm"（`6.1.190-1`，DLA-4841-1，以及 `linux-6.12` `6.12.113-1~deb12u1`，DLA-4850-1）、13 "trixie"（`6.12.113-1`，DSA-6568-1）和 unstable（tracker (https://security-tracker.debian.org/tracker/CVE-2026-98432)）中修复。 - **SUSE：**评级为 important。SUSE Linux Enterprise Server 16.0（`kernel-default` `6.12.0-160000.40.1`）以及 15 SP4、SP5、SP6 的 LTSS 内核已修复；15 SP7 正在处理中，openSUSE Leap 15.6 和 16.0 被列为受影响（CVE 页面 (https://www.suse.com/security/cve/CVE-2026-98432/)）。 - **Oracle Linux：**评级为 Important，CVSS 3.1 8.1。Oracle Linux 7、8、9、10 的 Unbreakable Enterprise Kernel（UEK）勘误于 10 月 16 日发布：ELSA-2026-500397、ELSA-2026-500398 和 ELSA-2026-500399（CVE 页面 (https://linux.oracle.com/cve/CVE-2026-98432.html)）。该页面仅列出 UEK 内核。 - **Amazon Linux：**评级为 Important，CVSS 3.1 8.1。在 Amazon Linux 2023 上，`kernel6.18` 已修复（ALAS2023-2026-3251，10 月 24 日），`kernel6.12` 已修复（ALAS2023-2026-3335，10 月 29 日）。默认的 `kernel` 包以及所有 Amazon Linux 2 内核均为 "Pending Fix"（CVE 页面 (https://explore.alas.aws.amazon.com/CVE-2026-98432.html)）。 ## 漏洞原理 当 Linux 服务器接受一个 TCP 连接时，内核先在一个轻量级的 "request socket"（请求套接字）中跟踪处于半开状态的握手，待握手完成后再创建完整的套接字。如果连接方的 IPv4 头部携带了选项，内核会保留它们以便在回复中回显。Bug 在于：内核将这些保存的选项从请求套接字直接交给了新连接而没有复制它们，随后在连接消失时立即释放了它们——而此时另一个 CPU 可能仍在读取这些数据来构造握手回复。读取已释放的内核内存即构成释放后使用。 对端无需登录，而且这一切都发生在内核的握手处理内部，早于任何应用代码执行。CNA 的评分说明指出，这些过期数据可能将内核堆内存泄露回对端、引导内核越界写入，或使机器崩溃。Anthropic 表示，竞态失败"只会导致握手失败而不会使整个系统崩溃，因此坚定的攻击者可以无限重试直到成功"。 ### 修复方案 Eric Dumazet 的提交 "ipv4: free inet_opt and ireq_opt after an RCU grace period" 将两处普通的 `kfree()` 调用改为 `kfree_rcu()`，后者会等待所有读者用完该内存后再释放。其他替换这些选项的代码路径原本就是这么做的。该提交还修复了请求套接字迁移（`net.ipv4.tcp_migrate_req=1`，或 `BPF_SK_REUSEPORT_SELECT_OR_MIGRATE` 程序）中的相同问题，并表示相关的 IPv6 情况"将在单独的补丁中处理"。 torvalds/linux · e3f33b0 · Oct 1, 2026 net/ipv4/af_inet.c 新增 1 行，删除 1 行 net/ipv4/tcp_ipv4.c 新增 1 行，删除 1 行 共改动 2 个文件，新增 2 行，删除 2 行 ## 哪些服务器面临风险 - **受影响内核上所有接受 IPv4 TCP 连接的 Linux 主机：**Web 服务器、SSH、数据库、负载均衡器和 Kubernetes 节点。CNA 的说明称，易受攻击的路径"在 TCP 握手期间执行，早于应用认证"。 - **带有 MPTCP（多路径 TCP）监听器的主机最优先。**这正是 Anthropic 可用利用程序所需的环境："配置了多路径 TCP 监听器的 Linux 服务器"。Anthropic 尚未说明该监听器为何重要，CVE 记录也未提及 MPTCP。只有当某个应用打开了 MPTCP 套接字时，服务器才会拥有它；检测方法见下文（https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#check-for-multipath-tcp-listeners）。 **Red Hat 对该 bug 的评级低于 CNA。**其将攻击复杂度评为 High（CVSS 8.1），并把结果描述为主要导致崩溃"或潜在的内存损坏"。Anthropic 的实验室利用程序已在至少一种配置上展示了远程 root shell，因此较低的评级不应成为等待的理由。 ## 如何检查你的系统 ### 检查内核 请将结果与上文（https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#distribution-status）你所属发行版的状态对比，而不是与上游版本号对比。如果已安装的内核比正在运行的更新，修复在重启之前不会生效。请在容器宿主机和 Kubernetes 节点上运行这些命令，而不是在容器内部：容器报告的是宿主机的内核。我们在一台 Debian 12 宿主机和一个 Rocky Linux 9 容器中进行了测试。 ### 检查是否有 MPTCP 监听器 `ss -M` 只列出 MPTCP 套接字，因此结果为空即表示没有 MPTCP 监听器。仅有 `net.mptcp.enabled = 1` 并不会创建监听器：必须由应用打开 MPTCP 套接字。我们在一个 Debian 12 容器中使用 iproute2 6.1 对两者都进行了测试，`ss -Mlnp` 列出了一个测试用 MPTCP 监听器，并跳过了它旁边的一个普通 TCP 监听器。 ## 如何修复 ### 更新内核并重启 一旦你的发行版发布了修复内核就立即安装，然后重启：内核更新在机器引导进入新内核之前不会生效。容器宿主机和 Kubernetes 节点同样需要重启。捆绑内核的设备（appliance）和云镜像需要等待其厂商的更新。 在 Debian、SUSE Linux Enterprise Server 16.0 及 15 LTSS 版本、Oracle Linux 的 UEK 内核以及 Amazon Linux 2023 的 `kernel6.12` 和 `kernel6.18` 上，修复已经发布。截至 10 月 29 日中部夏令时晚 8:00，在 Ubuntu、RHEL、Amazon Linux 2 以及 Amazon Linux 2023 的默认内核上，修复尚未发布。请关注上文（https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf#distribution-status）链接的各个 tracker。运行自编译内核？请切换到对应系列的已修复 stable 版本。 ### 如果暂时无法打补丁 Red Hat 未发布任何缓解措施。以下是 Atlas 的临时建议，依据 CNA 的评分说明——其中指出攻击对端在其 SYN 中携带 IPv4 Record Route 或 Timestamp 选项。TCP 流量几乎从不合法地携带 IPv4 选项，因此丢弃带有这些选项的 TCP 数据包应该没有任何代价： `ip hdrlength gt 5` 匹配任何长于 20 字节最小长度的 IPv4 头部，而只有选项才会使其变长。该规则在连接跟踪之前运行，不会影响 IPv6 或非 TCP 流量。我们在一个 Debian 12 容器中进行了测试：它丢弃了携带 Record Route 选项的 SYN，而普通 TCP 连接仍正常工作。我们未针对实际利用程序测试过它，而且它并不能修复内核。该规则在重启后失效——如果重启进入的是已修复的内核，这没有问题；可用 `nft delete table ip cve_2026_98432` 移除它。如果你的边界防火墙能丢弃带有选项的 IPv4 数据包，在那里执行可以保护其后的所有主机。 在此之前，请勿让 MPTCP 监听器暴露在互联网上，并把拥有此类监听器的主机排在补丁列表的最前面。 ## 时间线与利用状态 所有时间均为中部夏令时（CDT，UTC−5）。 | 时间 | 事件 | |---|---| | 10 月 1 日 · 下午 5:12 | Eric Dumazet 发布修复，并注明报告者为 Anthropic 的 Xinyang Ge | | 10 月 5 日 | 修复被合入内核的 networking 树 | | 10 月 11 日 | Linux 7.2.10 和 6.18.56 发布修复；当晚 7.3-rc7 跟进 | | 10 月 15 日 · 凌晨 4:56–7:16 | Linux 6.12.113、6.6.159、6.1.190、5.15.223 和 5.10.272 发布修复；CVE 记录于上午 7:08 发布 | | 10 月 16 日 | Oracle 发布覆盖 Oracle Linux 7 至 10 的 UEK 勘误 | | 10 月 18 日 | Linux 7.3 发布，包含修复 | | 10 月 24 日 | Amazon Linux 2023 的 `kernel6.18` 包已修复 | | 10 月 27 日 | Anthropic 的 Frontier Red Team 描述（https://www.anthropic.com/research/discovering-vulnerabilities-with-claude）了其在实验室中由 Claude 构建的该 bug 的远程 root 利用程序 | | 10 月 29 日 | Ubuntu 仍将其内核列为易受攻击；Amazon Linux 2023 的 `kernel6.12` 包已修复；出现引用该 CVE 的 GitHub 仓库，其中一个创建于晚上 7:22 并描述了竞态触发方式 | **利用状态。**Anthropic 表示 Claude 是"在最初的提示之后"编写出该利用程序的，它在配有 MPTCP 监听器的服务器上"以 root 身份执行任意命令，无需任何凭据或用户交互"，并且在其 PoC 中"泄露一个内核指针需要 48 分钟，再用 5 分钟即可到达 shell 命令执行"。Anthropic 尚未公开该利用程序。其披露政策（https://www.anthropic.com/coordinated-vulnerability-disclosure）给予开发者 90 天的修补期，之后再加 45 天，Anthropic 才会讨论公开公告之外的细节。截至 10 月 29 日中部夏令时晚 8:00，已有八个 GitHub 仓库引用该 CVE。其中多数自称为审计或缓解工具，包括一个 Ansible role 以及一个适用于 AlmaLinux 和 Rocky Linux 的 livepatch。其中一个创建于晚上 7:22，声称包含竞态触发器。截至 10 月 29 日中部夏令时晚 8:00，该 CVE 尚未进入 CISA 的 Known Exploited Vulnerabilities 目录。我们未测试任何公开的概念验证，也不会提供其链接。 ## 本文更新 当以下任一情况发生变化时，我们将修订本文并标记为已更新：Ubuntu、Red Hat 或 Amazon Linux 发布修复内核；NVD 的分析；进入 KEV 目录或出现任何利用报告；单独的 IPv6 修复。 - **10 月 29 日，中部夏令时晚 8:00：**新增 Oracle Linux（自 10 月 16 日起其 UEK 内核已修复）和 Amazon Linux（Amazon Linux 2023 的 6.12 与 6.18 内核已修复，其他版本待修复）。现有八个 GitHub 仓库引用该 CVE，其中一个描述了竞态触发器。自上午 11:00 起，Ubuntu、Red Hat、Debian、SUSE、NVD 和 KEV 均无变化，没有任何更正内容。 ## 获取帮助 如果难点在于弄清哪些主机、节点和设备运行哪个内核，以及其中哪些可以在本周重启，我们的顾问可以协助规划。 **Atlas Service · Atlas Technical Consulting** — 面向安全审计、代码审查和 DevOps 工作的资深顾问 —— 提供两小时的探索性咨询时段，无需预留承诺，并有 24 小时响应 SLA。（https://atlasum.net/services/technical-consulting） 该 bug 可通过任何监听中的 TCP 端口触发，因此了解哪些端口对互联网可见很有帮助。我们的免费外部审计会检查你所验证的域名和公网 IP……