CVE-2026-98432：Linux 内核 IPv4 Use-After-Free 漏洞深度解析

一、漏洞概览

一句话总结：Linux 内核 IPv4 协议栈在处理 TCP 连接建立时，inet_opt 和 ireq_opt 的释放没有经过 RCU 宽限期，导致在多核并发场景下存在 Use-After-Free（释放后使用）漏洞。远程攻击者可利用此漏洞在无需认证的情况下，通过网络触发该竞争条件，造成内核内存损坏，进而实现 任意代码执行、提权或系统崩溃。

二、CVSS 评分解读

评分向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 拆解：

综合评分 9.8，属于最高严重等级 Critical。 这意味着该漏洞可被远程无认证利用，且成功后可完全控制目标系统。

三、技术原理深度分析

3.1 背景：TCP 连接建立流程

在 Linux 内核中，TCP 三次握手的核心流程如下：

1. 服务端收到客户端的 SYN，创建一个 request socket（请求套接字），放入 ehash 表中
2. 服务端回复 SYN-ACK
3. 客户端回复 ACK，服务端调用 tcp_v4_syn_recv_sock() 将 request socket 转换为完整的 child socket（子套接字）

3.2 漏洞根因

漏洞出在 tcp_v4_syn_recv_sock() 函数中。该函数将 request socket 的 ireq->ireq_opt（IP 选项）所有权转移给新创建的 child socket（newinet->inet_opt），但没有做拷贝——两个指针指向同一块内存。

与此同时，另一个 CPU 核可能正在并发处理同一个 request socket 的 SYN 重传，通过 tcp_check_req() 发送 SYN-ACK。这个路径会在 rcu_read_lock() 保护下读取 ireq->ireq_opt，然后 ip_build_and_send_pkt() 和 ip_options_build() 会读取 opt->optlen。

问题的关键在于：自提交 079096f103fa（“tcp/dccp: install syn_recv requests into ehash table”）起，request socket 的处理不再持有 listener lock。这意味着没有任何东西阻止 child socket 在 SYN-ACK 还在构建的过程中被释放。

TCP child socket 没有 SOCK_RCU_FREE 标志，而 inet_sock_destruct() 使用的是普通的 kfree() 来释放 inet_opt——这不是 RCU 安全的释放方式。于是：

CPU 0: tcp_v4_syn_recv_sock() → 转移 ireq_opt 所有权 → child socket 被创建并随后释放
                                                                         ↓
                                                    inet_sock_destruct() → kfree(inet_opt)  ← 内存被释放！
                                                                         ↓
CPU 1: tcp_v4_send_synack() → 读取 ireq->ireq_opt → ip_options_build() → 读取 opt->optlen
                                                                         ↑
                                                    💥 Use-After-Free！读取了已释放的内存

3.3 第二条触发路径：Request Socket 迁移

当启用 net.ipv4.tcp_migrate_req=1 或使用 BPF_SK_REUSEPORT_SELECT_OR_MIGRATE 程序时，还存在另一条触发路径：

1. reqsk_timer_handler() 通过 inet_reqsk_clone() 克隆 request socket，旧的和克隆的共享同一个 ireq_opt
2. reqsk_migrate_reset() 清除旧 request socket 中的指针
3. 另一个 CPU 如果仍持有旧 request socket 的引用（正在发送 SYN-ACK 或创建 child socket），当克隆被释放时，tcp_v4_reqsk_destructor() 同样使用普通 kfree() 释放
4. → Use-After-Free

3.4 修复方案

修复思路非常清晰：读取端已经在使用 RCU 保护，其他替换 inet_opt 的路径（do_ip_setsockopt()、cipso_v4_sock_setattr() 等）也已经在使用 kfree_rcu()。修复就是在 inet_sock_destruct() 和 tcp_v4_reqsk_destructor() 中也改用 kfree_rcu()。

kfree_rcu() 会在 RCU 宽限期结束后才真正释放内存，确保所有正在读取该内存的 CPU 都已退出 rcu_read_lock() 临界区，从而消除竞争条件。

3.5 IPv6 情况

IPv6 不受第一条问题影响，因为 tcp_v6_syn_recv_sock() 会对选项做拷贝（duplicate）。但 tcp_v6_reqsk_destructor() 在迁移场景下存在类似问题（仅 CALIPSO 设置 ipv6_opt 时触发），将在单独补丁中修复。

四、受影响版本

该漏洞由提交 079096f103fa 引入，影响几乎所有主流 Linux 内核版本。各 LTS 分支的修复版本如下：

简单判断：如果你的内核版本在上述"受影响范围"内且低于对应"修复版本"，则受此漏洞影响。

五、修复补丁

修复已在 Linux 稳定内核仓库中提交，对应各分支的 commit：

所有补丁均可在 https://git.kernel.org/stable/c/<commit-hash> 查看。

六、各发行版安全公告

该漏洞已被多个发行版收录并发布安全更新：

AlmaLinux：

• ALSA-2026:93414
• ALSA-2026:93415

SUSE / openSUSE：

• SUSE-SU-2026:24386-1
• SUSE-SU-2026:24422-1
• SUSE-SU-2026:24437-1
• SUSE-SU-2026:24446-1
• SUSE-SU-2026:4934-1 ~ SUSE-SU-2026:4984-1（多个分支）
• SUSE-SU-2026:5019-1、SUSE-SU-2026:5020-1
• openSUSE-SU-2026:22167-1

七、缓解措施与修复建议

7.1 最佳方案：升级内核

立即升级到对应分支的修复版本或更新版本。 这是最彻底的解决方案。

# 查看当前内核版本
uname -r

# Ubuntu/Debian
sudo apt update && sudo apt upgrade linux-image-$(uname -r)

# CentOS/RHEL/AlmaLinux/Rocky
sudo dnf update kernel

# SUSE/openSUSE
sudo zypper update kernel-default

# 升级后重启
sudo reboot

7.2 临时缓解（无法立即升级时）

如果暂时无法升级内核，可考虑以下缓解措施（效果有限，仅作临时过渡）：

1. 关闭 request socket 迁移（阻断第二条触发路径）：

   sysctl -w net.ipv4.tcp_migrate_req=0
   

   注意：这只阻断迁移路径，不阻断第一条主路径。

2. 网络层面限制：在防火墙/安全组层面限制不必要的入站 TCP 连接来源，缩小攻击面。

3. 禁用 IP 选项：漏洞触发依赖 inet_opt/ireq_opt 非空（即使用了 IP 选项），正常通信中 IP 选项很少使用。但无法完全保证攻击者不构造带 IP 选项的 SYN 包。

⚠️ 以上缓解措施无法完全消除风险，强烈建议尽快升级内核。

7.3 容器环境注意事项

• 容器共享宿主机内核：容器内的应用无法自行修复内核漏洞，必须在宿主机层面升级内核。
• 升级宿主机内核后，所有容器自动获得修复。
• Kubernetes 环境下建议通过滚动重启节点的方式应用内核更新。

八、漏洞利用难度评估

综合判断：虽然 CVSS 评分为 9.8 Critical，但从 UAF 到稳定的远程代码执行需要较高的技术门槛。更现实的威胁是远程拒绝服务（DoS）——攻击者可通过反复触发竞争条件导致内核崩溃（kernel panic），使目标系统持续不可用。

九、时间线

十、总结

CVE-2026-98432 是一个影响 Linux 内核 IPv4 TCP 协议栈的高危 Use-After-Free 漏洞，CVSS 评分 9.8（Critical）。其根因是 inet_opt/ireq_opt 在释放时使用了普通的 kfree() 而非 RCU 安全的 kfree_rcu()，在多核并发处理 TCP 连接建立时存在竞争条件。