Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipv4：在 RCU 宽限期 tcp_v4_syn_recv_sock（） 过后释放inet_opt和ireq_opt 将 ireq->ireq_opt 的所有权转移至子套接字 （newinet->inet_opt），而不对其进行复制。另一个 CPU 可同时处理针对相同请求套接字重新传输的 SYN，并从 tcp_check_req（） 发送 SYNACK。
    tcp_v4_send_synack（） 和 inet_csk_route_req（） 仅读取 rcu_read_lock（） 下的 ireq->ireq_opt，然后 ip_build_and_send_pkt（） 和 ip_options_build（） 读取 opt->optlen 两次。请注意，SYNACK 计时器本身不是问题：它保留其请求套接字上的引用，并且 inet_csk_reqsk_queue_drop（） 在释放子进程之前调用 timer_delete_sync（）。自提交 079096f103fa（tcp/dccp：将 syn_recv 请求安装到 ehash 表中）以来，会在处理请求套接字时不保留监听器锁定，因此在仍在构建 SYNACK 时，并不会阻止释放子套接字。TCP 子套接字没有SOCK_RCU_FREE，而 inet_sock_destruct（） 使用普通 kfree（） 释放inet_opt，从而导致 ip_options_build（） 中的释放后使用。请求套接字迁移（net.ipv4.tcp_migrate_req=1 或BPF_SK_REUSEPORT_SELECT_OR_MIGRATE程序）存在类似问题。reqsk_timer_handler（） 通过 inet_reqsk_clone（） 克隆请求套接字，以便旧请求套接字及其克隆共享相同的ireq_opt，然后 reqsk_migrate_reset（） 清除旧套接字中的指针。当克隆被释放时，保留旧请求套接字上引用的另一个 cpu 仍可使用这些选项（发送 SYNACK 或在 tcp_v4_syn_recv_sock（） 中创建子项），且 tcp_v4_reqsk_destructor（） 也使用普通 kfree（）。阅读器已使用 RCU，而其他路径取代 inet_opt（do_ip_setsockopt（）、cipso_v4_sock_setattr（）...） 已使用 kfree_rcu（）。也可以在 inet_sock_destruct（） 和 tcp_v4_reqsk_destructor（） 中使用 kfree_rcu（）。IPv6 不受第一个问题的影响，因为 tcp_v6_syn_recv_sock（） 重复选项。tcp_v6_reqsk_destructor（） 对 ipv6_opt 存在相同的迁移问题，仅由 CALIPSO 设置。此问题将在单独的修补程序中解决。（CVE-2026-98432）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-98432

critical Nessus 插件 ID 366212

版本 1.11