CVE-2026-98432：Linux 内核 IPv4 TCP 栈 Use-After-Free（CVSS 9.8）

内核.org CNA 于 2026-10-15 公布；上游修复约 2026-10-05 合入。CVSS 3.1：9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）——无认证、远程、低复杂度。CWE-416 Use After Free。

一句话

IPv4 TCP 握手过程中，IP 选项内存被普通 kfree() 释放，而另一 CPU 仍在 RCU 读路径里访问 → 释放后重用（UAF）。开放 IPv4 TCP 监听的主机（Web / SSH / 数据库等）默认即可触及。

原理（精简）

自 commit 079096f103fa（约 Linux 4.4）起，SYN-RECV 请求套接字不再持有 listener 锁即可处理。tcp_v4_syn_recv_sock() 把 ireq->ireq_opt 直接转移给子 socket，不拷贝。

竞态大致是：

1. CPU A 处理重传 SYN，在 RCU 读锁下读 ireq_opt，走 tcp_v4_send_synack → ip_options_build()
2. CPU B 释放子 socket，inet_sock_destruct() 用普通 kfree() 释放同一块 inet_opt
3. CPU A 继续写已释放内存 → UAF

net.ipv4.tcp_migrate_req=1（或 BPF SK_REUSEPORT_SELECT_OR_MIGRATE）的请求套接字迁移路径有同类问题。IPv6 主路径不受影响（会复制选项）；CALIPSO 相关迁移另有补丁。

影响与利用现状

• 引入：Linux 4.4+（079096f103fa）
• 稳定版修复基线（达到即修）：5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 / 6.12.113 / 6.18.56 / 7.2.10；主线 7.3 已含修复
• Anthropic 研究员报告了可在 MPTCP 监听 上做到远程 root 的利用路径（先泄露绕过 KASLR，再改回调）。截至 Akamai 2026-11-02 文章，未见到公开可工作的完整 exploit；公开的是原理与补丁，不是随手能下的 PoC 包。
• Go 1.24+ 在 Linux 上对监听 socket 默认启用 MPTCP，相关服务面更大，需额外注意。

修复

核心改动：inet_sock_destruct / tcp_v4_reqsk_destructor 里对 inet_opt / ireq_opt 的释放由 kfree() 改为 kfree_rcu()，等 RCU grace period 后再释放。作者 Eric Dumazet。

参考：

• 官方通告：https://lists.openwall.net/linux-cve-announce/2026/10/15/1
• Akamai 分析：https://www.akamai.com/blog/security-research/cve-2026-98432-remote-uaf-linux-kernels-tcp-stack
• CVE：https://cve.org/CVERecord/?id=CVE-2026-98432

检查与升级

uname -r
# AlmaLinux / RHEL
dnf upgrade kernel
# Debian / Ubuntu：装发行版提供的最新 kernel 包后 reboot

临时缓解（不能替代补丁）

sudo sysctl -w net.mptcp.enabled=0
sudo sysctl -w net.ipv4.tcp_migrate_req=0

持久化可写 /etc/sysctl.d/99-cve-2026-98432.conf。边界上可对带 IPv4 options 的包做限制 / SYN cookie 加固，但可能影响依赖 IP 选项的业务。最终仍须升级内核。

资料核对：kernel.org CVE 公告 + Akamai SIG（2026-11-02）。若发现发行版已出修复包，优先装官方包并 reboot。