Ing. Calogero Bono
Linux कर्नेल के TCP IPv4 कोड में एक गंभीर खामी, जिसे CVE-2026-98432 नाम दिया गया है, दूर से कोड निष्पादन तक ले जा सकती है। Red Hat ने 1 नवंबर को RHEL 8, 9 और 10 के लिए सुधरे हुए कर्नेल जारी किए। Canonical ने 2 नवंबर को Ubuntu 22.04, 24.04 और 26.04 LTS के सुधार परीक्षण वाले चैनल -proposed में डाल दिए, बिना नियमित अपडेट की तारीख के। खुले सर्वर चलाने वालों के लिए विकल्प है कि रुकें या अभी इंस्टॉल करें।
तथ्यों में जाने से पहले कुछ शब्द। CVE उस कोड को कहते हैं जो किसी ज्ञात खामी की पहचान करता है। CVSS 0 से 10 का वह पैमाना है जो गंभीरता नापता है, यहाँ 9.8। Use-after-free वह त्रुटि है जिसमें प्रोग्राम पहले से मुक्त की गई मेमोरी पढ़ता है। -proposed Ubuntu का वह चैनल है जहाँ अपडेट परीक्षण में रहते हैं और अपने आप इंस्टॉल नहीं होते। MPTCP Multipath TCP है, प्रोटोकॉल का एक रूप जो कई नेटवर्क मार्गों का उपयोग करता है।
CVE-2026-98432 खामी क्या है?
The Hacker News के विवरण के अनुसार, जब सर्वर TCP IPv4 कनेक्शन स्वीकार करता है, तो कर्नेल अनुरोध के IP विकल्प बिना कॉपी किए नए सॉकेट को सौंप देता है। अगर क्लाइंट अनुरोध दोबारा भेजता है जबकि कोई दूसरा प्रोसेसर अब भी उन विकल्पों को पढ़ रहा है, तो कर्नेल मुक्त की गई मेमोरी पढ़ सकता है।
हमलावर किसी भी खुले TCP पोर्ट पर IPv4 Record Route या Timestamp विकल्पों वाले अनुरोध भेजता है। किसी पहुँच की ज़रूरत नहीं होती। IPv6 का मुख्य मार्ग इससे प्रभावित नहीं है। यह दोष कर्नेल 4.4 से मौजूद है और अक्टूबर में upstream सुधार आया।
यह कितना गंभीर है और क्या कोई exploit चल रहा है?
कर्नेल CVE टीम 10 में से 9.8 देती है। Red Hat ने 5.9 Moderate से शुरू किया, फिर स्कोर 9.8 किया और खामी को Critical बताया। Amazon Linux इसे 8.1, Important मानता है, और मुख्य रूप से मेमोरी भ्रष्टाचार की संभावना वाले क्रैश की बात करता है।
किसी विक्रेता, CERT या कर्नेल टीम ने हमले की रिपोर्ट नहीं की है, और अक्टूबर के अंत तक यह CISA की सक्रिय रूप से शोषित खामियों की सूची में नहीं थी। Anthropic ने दावा किया है कि एक आंतरिक शोध मॉडल ने MPTCP listener वाले सर्वरों के लिए root exploit लिखा, पर कोड सार्वजनिक नहीं किया। GitHub पर केवल वह कोड है जो दौड़ की स्थिति को ट्रिगर करता है, कोड निष्पादन नहीं।
कौन से Ubuntu संस्करण प्रभावित हैं और पैच कैसे इंस्टॉल करें?
Ubuntu के आधिकारिक ब्लॉग के अनुसार, Jammy (22.04) में -proposed में कर्नेल 5.15.0-203.213 है, Noble (24.04) में 6.8.0-149.149 और Resolute (26.04) में 7.0.0-43.43। Stonking (26.10) पहले से 7.3.0-10.10 के साथ सुधरा हुआ है। Focal, Bionic और Xenial के लिए सुधार आ रहा है, जबकि Trusty प्रभावित नहीं है।
चालू कर्नेल जाँचने के लिए uname -r चलाएँ। नियमित रिलीज़ से पहले फिक्स पाने के लिए add-apt-repository से -proposed सक्षम करें, apt install -t के साथ बताया गया संस्करण इंस्टॉल करें और रीबूट करें। Canonical रिलीज़ से पहले अपडेट को 2,000 से ज़्यादा प्रमाणित सर्वरों और उपकरणों पर परखता है। पुराने संस्करणों के लिए Ubuntu Pro के ESM की ज़रूरत है।
अगर आप पैकेज हाथ से संभालते हैं, तो हमारी apt और dnf गाइड चरणों में मदद करेगी।
क्या कोई शमन उपाय है, और क्या MPTCP बंद करना काफ़ी है?
नहीं, केवल MPTCP बंद करना काफ़ी नहीं है। दोष TCP IPv4 मार्ग में है, MPTCP में नहीं, और Canonical दोहराता है कि Ubuntu Security Team के लिए अपडेट ही एकमात्र उचित शमन है। प्रोटोकॉल वाली सलाह केवल इसलिए आई क्योंकि Anthropic का बताया exploit उसका उपयोग करता है।
Red Hat ने 30 अक्टूबर को एक nftables नियम जारी किया जो IP विकल्पों वाले TCP IPv4 पैकेट गिराता है। यह ज्ञात ट्रिगर को रोकता है पर शोषण को पूरी तरह नहीं रोकता और उन सेवाओं को तोड़ सकता है जो वे विकल्प इस्तेमाल करती हैं। यह केवल उसी होस्ट पर लागू होता है जहाँ लोड है, और एक ही मशीन के कंटेनरों के बीच का ट्रैफ़िक इसे पार कर सकता है। नेटवर्क नियमों को समझने के लिए Linux नेटवर्क कॉन्फ़िगरेशन गाइड से शुरुआत करें।
जानने योग्य सीमाएँ
Ubuntu के नियमित रिलीज़ की कोई तारीख नहीं है। क्लाउड, FIPS और real-time वेरिएंट अभी तैयार हो रहे हैं, जबकि Canonical की पोस्ट केवल जनरिक कर्नेल को कवर करती है। Anthropic का exploit सार्वजनिक नहीं है और उसकी प्रभावशीलता कंपनी का दावा है, किसी तीसरे पक्ष द्वारा सत्यापित नहीं। वास्तविक हमलों की तस्वीर तेज़ी से बदल सकती है।
डिजिटल काम करने वालों के लिए क्या बदलता है
अगर आप Ubuntu 22.04, 24.04 या 26.04 के सर्वर चलाते हैं जो इंटरनेट पर खुले हैं, तो अभी तय करना होगा कि -proposed इस्तेमाल करें या इंतज़ार करें। RHEL 8, 9 और 10 पर बस अपडेट इंस्टॉल करें और रीबूट करें। रीबूट की योजना बनानी होगी, इसलिए रखरखाव की एक विंडो चाहिए। कंटेनर और वर्चुअल मशीनों की भी जाँच करें, क्योंकि वे होस्ट का कर्नेल साझा करते हैं। अगर आप प्रबंधित होस्टिंग इस्तेमाल करते हैं तो प्रदाता से पैच की स्थिति पूछें।
हमारी राय
Canonical का फैसला तकनीकी रूप से सावधान है, पर जिन सर्वरों को पैच की सबसे ज़्यादा ज़रूरत है वे दिनों तक असुरक्षित रहते हैं। बिना प्रमाणीकरण के पहुँच योग्य 9.8 स्कोर के लिए तेज़ रास्ता चाहिए, और -proposed के ज़रिए जोखिम प्रशासक पर डालना तभी स्वीकार्य है जब उसे अच्छी तरह समझाया जाए। ब्लॉग यह करता है, पर पुराने संस्करणों की देरी अब भी समस्या है। यह मानना होगा कि MPTCP बंद करने की सलाह को स्पष्ट रूप से खारिज किया गया है।
अक्सर पूछे जाने वाले सवाल
क्या CVE-2026-98432 का पहले से दुरुपयोग हो रहा है?
विक्रेताओं, CERT या कर्नेल टीमों की ओर से कोई हमला दर्ज नहीं हुआ है। 30 अक्टूबर तक यह खामी CISA की सूची में नहीं थी। हालाँकि Anthropic ने एक exploit का दावा किया है जो सार्वजनिक नहीं है, और GitHub पर परीक्षण कोड मौजूद है।
मैं कैसे जाँचूँ कि मेरा Ubuntu असुरक्षित है?
uname -r चलाएँ और संस्करण की तुलना Canonical की तालिका से करें। इंस्टॉल पैकेज देखने के लिए dpkg -l 'linux-image*' उपयोग करें। अपडेट के बाद रीबूट भी ज़रूरी है।क्या मैं -proposed से पैच इंस्टॉल कर सकता हूँ?
हाँ, अगर आप ऐसे चैनल का उपयोग करने को तैयार हैं जो अभी परीक्षण में है। -proposed सक्षम करें और कर्नेल को स्पष्ट रूप से इंस्टॉल करें, क्योंकि वह अपने आप अपडेट नहीं होता। फिर रीबूट करें।
क्या MPTCP बंद करने से समस्या हल होती है?
नहीं। खामी TCP IPv4 में है, MPTCP में नहीं, जैसा Canonical ने याद दिलाया है। यह सलाह केवल Anthropic के बताए exploit से आई है।
Ubuntu 20.04 या उससे पुराने संस्करणों का क्या?
अभी उनके लिए कोई सुधार नहीं है। Focal, Bionic और Xenial प्रतीक्षा में हैं और Ubuntu Pro के ESM के ज़रिए आएँगे। Trusty प्रभावित नहीं है।
आने वाले दिनों में Ubuntu कर्नेल पर क्या देखें
मामला Canonical के नियमित रिलीज़ और exploit के संभावित सार्वजनिक होने पर टिका है।
- updates चैनल में रिलीज़ की तारीख और क्लाउड वेरिएंट के लिए Ubuntu का CVE पेज देखते रहें।
- हमलों की रिपोर्ट या CISA सूची में प्रविष्टि की जाँच करते रहें।
- खुले सर्वरों के लिए रीबूट विंडो तैयार रखें, ताकि पैच मिलते ही लागू हो सके।
