大工网安告[2026036]

一、 情况分析

Linux内核是一款开源的类Unix操作系统内核，是绝大多数Linux发行版的底层核心基础组件。内核负责管理系统硬件资源，实现进程调度、内存管理、文件系统、信号与定时器、设备驱动等核心基础能力。它为上层用户态程序提供系统调用接口，支撑应用程序运行，广泛部署在服务器、云容器、嵌入式设备以及Android移动终端当中。POSIX定时器是内核提供给应用层的标准定时器接口，支持按线程CPU时间触发定时事件，供多线程业务程序使用。

近日，监测到官方修复LinuxKernelIPv4TCP释放后重用漏洞(CVE-2026-98432)，该漏洞源于IPv4TCP握手处理中的竞态条件：tcp_v4_syn_recv_sock()将请求套接字的ireq->ireq_opt（IP选项结构）所有权直接转移给子套接字的inet_opt而未复制，且未清除原指针。自commit079096f103fa起，请求套接字无需持有监听锁即可处理，允许另一CPU并发处理重传SYN并通过tcp_check_req()构建SYNACK。子套接字在inet_sock_destruct()中以普通kfree()释放inet_opt，导致ip_options_build()中发生释放后重用。攻击者可利用该漏洞通过网络触发内核内存损坏、信息泄露（绕过KASLR）、拒绝服务，或在特定条件下（如MPTCP监听器）实现远程任意代码执行并获取root权限。

威胁类型：代码执行、权限提升。

技术类型：释放后重用。

危害描述：攻击者可利用该漏洞通过网络触发内核内存损坏、信息泄露（绕过KASLR）、拒绝服务，或在特定条件下（如MPTCP监听器）实现远程任意代码执行并获取root权限。

二、 影响版本

Linux内核4.4及之后版本（引入提交079096f103fa），直至各分支修复版本：5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3。4.4/4.9/4.14/4.19/5.4等已停止维护分支需依赖发行版或商业支持回移。具体影响版本如下：

LinuxKernel 5.10.*<5.10.272

LinuxKernel 5.15.*<5.15.223

LinuxKernel 6.1.*<6.1.190

LinuxKernel 6.6.*<6.6.159

LinuxKernel 6.12.*<6.12.113

LinuxKernel 6.18.*<6.18.56

LinuxKernel 7.2.*<7.2.10

LinuxKernel 7.3-rc<7.3-rc7

三、 处置建议

修复解决方案（含漏洞补丁）：

官方已于2026年10月15日在各受支持的稳定分支发布修复，建议尽快将Linux内核升级至以下版本：

LinuxKernel 5.10.*>=5.10.272

LinuxKernel 5.15.*>=5.15.223

LinuxKernel 6.1.*>=6.1.190

LinuxKernel 6.6.*>=6.6.159

LinuxKernel 6.12.*>=6.12.113

LinuxKernel 6.18.*>=6.18.56

LinuxKernel 7.2.*>=7.2.10

LinuxKernel 7.3.*（7.3及后续主线版本已包含修复）

缓解措施：

在无法立即升级时，可采取以下措施降低风险，但不能替代补丁：

1.关闭MPTCP：sysctl-wnet.mptcp.enabled=0；Go程序可设置环境变量GODEBUG=multipathtcp=0，或在main模块go.mod中加入godebugmultipathtcp=0，或改用net.ListenConfig.SetMultipathTCP(false)；

2.执行sysctl-wnet.ipv4.tcp_migrate_req=0，并用bpftoolproglist排查、移除sk_reuseport类型的BPF迁移程序，以关闭第二条路径；

3.清理不必要的setsockopt(IP_OPTIONS)用法，并在边界设备上评估丢弃携带IP选项的SYN报文（部分网络设备与中间盒会主动添加IP选项，需先做业务验证）；

4.收敛暴露面：对非必要对外开放的TCP服务实施访问控制，优先保护Web、SSH、数据库与代理等互联网可达服务。