ಅಕ್ಟೋಬರ್ 2026 ರಲ್ಲಿ, CVESS ಮಾಪಕದಲ್ಲಿ 10 ರಲ್ಲಿ 9.8 ರೇಟಿಂಗ್ ಪಡೆದಿರುವ Linux ಕರ್ನಲ್‌ನಲ್ಲಿ CVE-2026-98432 ಎಂಬ ನಿರ್ಣಾಯಕ ದುರ್ಬಲತೆ ಕಂಡುಬಂದಿದೆ. ಇದು ಒಳಬರುವ IPv4 TCP ಸಂಪರ್ಕಗಳನ್ನು ಹೇಗೆ ನಿರ್ವಹಿಸಲಾಗುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ ಮತ್ತು ಕೆಲವು ಪರಿಸ್ಥಿತಿಗಳಲ್ಲಿ, ಆಕ್ರಮಣಕಾರರು ಪಾಸ್‌ವರ್ಡ್ ಇಲ್ಲದೆ ಮತ್ತು ನಿರ್ವಾಹಕರಿಂದ ಯಾವುದೇ ಕ್ರಮದ ಅಗತ್ಯವಿಲ್ಲದೆಯೇ ರಿಮೋಟ್ ಆಗಿ ಸರ್ವರ್‌ಗೆ ರೂಟ್ ಪ್ರವೇಶವನ್ನು ಪಡೆಯಲು ಅನುಮತಿಸುತ್ತದೆ.
ಯಾರಿಗೆ ಇದರಿಂದ ತೊಂದರೆಯಾಗಿದೆ, ನಿಮ್ಮ ಸರ್ವರ್ ಅನ್ನು ಹೇಗೆ ಪರಿಶೀಲಿಸುವುದು ಮತ್ತು ಅದನ್ನು ಹೇಗೆ ರಕ್ಷಿಸುವುದು ಎಂಬುದನ್ನು ಕೆಳಗೆ ನೀಡಲಾಗಿದೆ. ಎಲ್ಲಾ ಆಜ್ಞೆಗಳನ್ನು ರೂಟ್ ಆಗಿ ಅಥವಾ ಇದರೊಂದಿಗೆ ರನ್ ಮಾಡಲಾಗುತ್ತದೆ. sudo.
ಸಂಕ್ಷಿಪ್ತವಾಗಿ ದುರ್ಬಲತೆಯ ಬಗ್ಗೆ
- ಅದು ಏನು: IPv4 TCP ಸಂಪರ್ಕಗಳನ್ನು ಹೊಂದಿಸುವ ಕೋಡ್‌ನಲ್ಲಿ ಬಳಕೆ-ನಂತರ-ಮುಕ್ತ ದೋಷ, ಇದು ರೇಸ್ ಸ್ಥಿತಿಯಿಂದ ಉಂಟಾಗುತ್ತದೆ. ಆಕ್ರಮಣಕಾರನು ವಿಶೇಷವಾಗಿ ರಚಿಸಲಾದ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಯಾವುದೇ ತೆರೆದ TCP ಪೋರ್ಟ್‌ಗೆ ಕಳುಹಿಸುತ್ತಾನೆ.
- ಬಾಧಿತ ಕರ್ನಲ್‌ಗಳು: ಲಿನಕ್ಸ್ 4.4 ರಿಂದ ಪ್ರತಿ ಆವೃತ್ತಿ, ಅಂದರೆ ಪ್ರಾಯೋಗಿಕವಾಗಿ ಪ್ರತಿಯೊಂದು ಪ್ರಸ್ತುತ ವಿತರಣೆ.
- IPv6 ಮುಖ್ಯ ದೋಷದಿಂದ ಪ್ರಭಾವಿತವಾಗಿಲ್ಲ.
- ಬೆದರಿಕೆ ಎಷ್ಟು ನೈಜವಾಗಿದೆ: ಆಂಥ್ರೊಪಿಕ್ ಸಂಶೋಧಕರು ಸುಮಾರು 53 ನಿಮಿಷಗಳಲ್ಲಿ ಮಲ್ಟಿಪಾತ್ TCP (MPTCP) ಸಕ್ರಿಯಗೊಳಿಸಲಾದ ಸರ್ವರ್‌ನಲ್ಲಿ ರೂಟ್ ಪ್ರವೇಶವನ್ನು ಪಡೆದ ಕಾರ್ಯನಿರತ ಎಕ್ಸ್‌ಪ್ಲೋಯ್ಟ್ ಸರಪಳಿಯನ್ನು ಪ್ರದರ್ಶಿಸಿದರು. ಎಕ್ಸ್‌ಪ್ಲೋಯ್ಟ್ ಕೋಡ್ ಅನ್ನು ಪ್ರಕಟಿಸಲಾಗಿಲ್ಲ.
- ಕಾಡಿನಲ್ಲಿ ದಾಳಿಗಳು: ನವೆಂಬರ್ 1, 2026 ರವರೆಗೆ, ಯಾವುದೇ ಶೋಷಣೆ ವರದಿಯಾಗಿಲ್ಲ. ಅದು ಶಾಂತವಾಗಿ ನವೀಕರಿಸಲು ಒಂದು ಕಾರಣವಾಗಿದೆ, ಅದನ್ನು ಮುಂದೂಡಲು ಒಂದು ಕಾರಣವಲ್ಲ.
ಗೋ ಸೇವೆಗಳು ಪ್ರತ್ಯೇಕ ಅಪಾಯವನ್ನು ಹೊಂದಿವೆ. ಗೋ 1.24 ರಿಂದ, ಲಿನಕ್ಸ್‌ನಲ್ಲಿನ ಸರ್ವರ್ ಪ್ರೋಗ್ರಾಂಗಳು ಕರ್ನಲ್ ಅನುಮತಿಸಿದಾಗಲೆಲ್ಲಾ ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ MPTCP ಮೂಲಕ ಪೋರ್ಟ್‌ಗಳಲ್ಲಿ ಆಲಿಸುತ್ತವೆ. ನಿರ್ವಾಹಕರು ತಮ್ಮ ಸರ್ವರ್ ಅಂತಹ ಸಂಪರ್ಕಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ತಿಳಿದಿರುವುದಿಲ್ಲ. ಜನಪ್ರಿಯ ಪ್ರೋಗ್ರಾಂಗಳಲ್ಲಿ, Xray ಈ ರೀತಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ - ಅದರ ಡೆವಲಪರ್‌ಗಳು ಈಗಾಗಲೇ ತುರ್ತು ಆವೃತ್ತಿಯನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿದ್ದಾರೆ, v26.10.31, ಇದು ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ MPTCP ಅನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ.
ಪ್ರತಿಯೊಂದು VPS ತನ್ನದೇ ಆದ ಕರ್ನಲ್ ಅನ್ನು ರನ್ ಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ನಿಮ್ಮ ಸರ್ವರ್‌ನಲ್ಲಿರುವ ಕರ್ನಲ್ ಅನ್ನು ನೀವೇ ನವೀಕರಿಸಬೇಕಾಗುತ್ತದೆ. ನಾವು ವರ್ಚುವಲೈಸೇಶನ್ ನೋಡ್‌ಗಳನ್ನು ನಾವೇ ನವೀಕರಿಸುತ್ತೇವೆ.
ನಿಮ್ಮ ಸಿಸ್ಟಂಗೆ ಪರಿಹಾರವಿದೆಯೇ?
ನವೆಂಬರ್ 1, 2026 ರ ಸ್ಥಿತಿ. ಬಹುತೇಕ ಪ್ರತಿದಿನ ಪರಿಹಾರಗಳು ಬರುತ್ತಿವೆ — ಪ್ರಸ್ತುತ ಸ್ಥಿತಿಗಾಗಿ ಈ ಲೇಖನದ ಕೊನೆಯಲ್ಲಿರುವ ಲಿಂಕ್‌ಗಳನ್ನು ಪರಿಶೀಲಿಸಿ.
| ವ್ಯವಸ್ಥೆ | ಸ್ಥಿತಿ | ಸ್ಥಿರ ಕರ್ನಲ್ |
|---|---|---|
| ಡೆಬಿಯನ್ 13 | ಸ್ಥಿರ | linux 6.12.113-1 |
| ಡೆಬಿಯನ್ 12 | ಸ್ಥಿರ | linux 6.1.190-1 |
| ಉಬುಂಟು 22.04, 24.04, 26.04 | ಸರಿಪಡಿಸುವಿಕೆ ಪ್ರಗತಿಯಲ್ಲಿದೆ | ಇನ್ನೂ ಇಲ್ಲ — ತಾತ್ಕಾಲಿಕ ರಕ್ಷಣೆಯನ್ನು ಬಳಸಿ |
| ಅಲ್ಮಾಲಿನಕ್ಸ್ 8, 9, 10 | ಪರೀಕ್ಷಾ ಭಂಡಾರದಲ್ಲಿ ಸರಿಪಡಿಸಿ | 8: 4.18.0-553.180.2.el8_10 9: 5.14.0-687.61.2.el9_8 10: 6.12.0-211.69.2.el10_2 |
| ರಾಕಿ ಲಿನಕ್ಸ್, RHEL 8, 9, 10 | ಇನ್ನೂ ಪರಿಹಾರವಿಲ್ಲ. | ತಾತ್ಕಾಲಿಕ ರಕ್ಷಣೆಯನ್ನು ಬಳಸಿ |
| ಒರಾಕಲ್ ಲಿನಕ್ಸ್ 7–10 (ಯುಇಕೆ) | ಸ್ಥಿರ | ಪ್ರಮಾಣಿತ ನವೀಕರಣದ ಮೂಲಕ |
| SUSE / openSUSE ಲೀಪ್ 16 | ಸ್ಥಿರ | ಪ್ರಮಾಣಿತ ನವೀಕರಣದ ಮೂಲಕ |
ಹಂತ 1. ನೀವು ಯಾವ ಕರ್ನಲ್ ಅನ್ನು ಚಲಾಯಿಸುತ್ತಿದ್ದೀರಿ ಎಂಬುದನ್ನು ಪರಿಶೀಲಿಸಿ
ಚಾಲನೆಯಲ್ಲಿರುವ ಕರ್ನಲ್‌ನ ಆವೃತ್ತಿಯನ್ನು ಕಂಡುಹಿಡಿಯಿರಿ:
uname -rಆವೃತ್ತಿ ಸಂಖ್ಯೆ ಮಾತ್ರ ನಿಮಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ: ವಿತರಣೆಗಳು ಮೂಲ ಆವೃತ್ತಿಯನ್ನು ಬದಲಾಯಿಸದೆ ತಮ್ಮದೇ ಆದ ಕರ್ನಲ್‌ಗಳಲ್ಲಿ ಬ್ಯಾಕ್‌ಪೋರ್ಟ್ ಸರಿಪಡಿಸುತ್ತವೆ. ಕರ್ನಲ್ ಪ್ಯಾಕೇಜ್ ಚೇಂಜ್‌ಲಾಗ್ ಅನ್ನು ಪರಿಶೀಲಿಸುವುದು ಹೆಚ್ಚು ವಿಶ್ವಾಸಾರ್ಹವಾಗಿದೆ - ಅದು CVE ಸಂಖ್ಯೆಯನ್ನು ಉಲ್ಲೇಖಿಸಿದರೆ, ಫಿಕ್ಸ್ ಅನ್ನು ಈಗಾಗಲೇ ಸ್ಥಾಪಿಸಲಾಗಿದೆ.
ಡೆಬಿಯನ್ ಮತ್ತು ಉಬುಂಟು:
apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432ಡೆಬಿಯನ್‌ನಲ್ಲಿ, ದಿ uname -v ಆಜ್ಞೆಯು ಚಾಲನೆಯಲ್ಲಿರುವ ಕರ್ನಲ್‌ನ ಪೂರ್ಣ ಪ್ಯಾಕೇಜ್ ಆವೃತ್ತಿಯನ್ನು ಸಹ ತೋರಿಸುತ್ತದೆ: ಅದನ್ನು ಮೇಲಿನ ಕೋಷ್ಟಕದೊಂದಿಗೆ ಹೋಲಿಕೆ ಮಾಡಿ.
ಅಲ್ಮಾಲಿನಕ್ಸ್, ರಾಕಿ ಲಿನಕ್ಸ್, ಆರ್‌ಹೆಚ್‌ಇಎಲ್, ಒರಾಕಲ್ ಲಿನಕ್ಸ್:
rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432ಆಜ್ಞೆಯು ಏನನ್ನೂ ಮುದ್ರಿಸದಿದ್ದರೆ, ಚಾಲನೆಯಲ್ಲಿರುವ ಕರ್ನಲ್ ದುರ್ಬಲವಾಗಿರುತ್ತದೆ.
ಮುಂದೆ, MPTCP ಮೂಲಕ ಯಾವ ಸೇವೆಗಳು ಸಂಪರ್ಕಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತವೆ ಎಂಬುದನ್ನು ಪರಿಶೀಲಿಸಿ. ಪ್ರದರ್ಶಿಸಲಾದ ದಾಳಿಯಲ್ಲಿ ಈ ರೀತಿಯ ಸರ್ವರ್‌ಗಳು ಗುರಿಯಾಗಿದ್ದವು:
ss -lnMpಖಾಲಿ ಔಟ್‌ಪುಟ್ ಎಂದರೆ ಯಾವುದೇ MPTCP ಕೇಳುಗರು ಇಲ್ಲ ಎಂದರ್ಥ.
ಹಂತ 2. ಸ್ಥಿರ ಕರ್ನಲ್ ಅನ್ನು ಸ್ಥಾಪಿಸಿ
ಕರ್ನಲ್ ಅನ್ನು ನವೀಕರಿಸುವ ಮೊದಲು ನಿಮ್ಮ ಸರ್ವರ್‌ನ ಬ್ಯಾಕಪ್ ಅಥವಾ ಸ್ನ್ಯಾಪ್‌ಶಾಟ್ ತೆಗೆದುಕೊಳ್ಳಿ.
ಡೆಬಿಯನ್ 12 ಮತ್ತು 13
ಸ್ಥಿರ ಕರ್ನಲ್‌ಗಳು ಭದ್ರತಾ ಭಂಡಾರದಲ್ಲಿವೆ. ಅದನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಲಾಗಿದೆಯೇ ಎಂದು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಿ:
grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/ಏನೂ ಸಿಗದಿದ್ದರೆ, ಸೇರಿಸಿ security.debian.org ನಿಮ್ಮ ಬಿಡುಗಡೆಗಾಗಿ ರೆಪೊಸಿಟರಿಯನ್ನು ಹೊಂದಿಸಿ. ನಂತರ ಸಿಸ್ಟಮ್ ಅನ್ನು ನವೀಕರಿಸಿ:
apt update
apt full-upgrade
rebootಉಬುಂಟು
ಸ್ಥಿರ ಕರ್ನಲ್‌ಗಳನ್ನು ಇನ್ನೂ ಬಿಡುಗಡೆ ಮಾಡಲಾಗಿಲ್ಲ. ನವೀಕರಣಗಳಿಗಾಗಿ ಪರಿಶೀಲಿಸಿ:
apt update
apt list --upgradable | grep linux-imageನಿಮ್ಮ ಸರ್ವರ್ ಉಬುಂಟು ಪ್ರೊಗೆ ಲಗತ್ತಿಸಿದ್ದರೆ, ನೀವು ಫಿಕ್ಸ್ ಯೋಜನೆಯನ್ನು ಪರಿಶೀಲಿಸಬಹುದು:
pro fix CVE-2026-98432 --dry-runಫಿಕ್ಸ್ ಬಿಡುಗಡೆಯಾದ ನಂತರ, ಅದನ್ನು ಸ್ಥಾಪಿಸಿ ಮತ್ತು ರೀಬೂಟ್ ಮಾಡಿ:
apt update
apt full-upgrade
rebootಅಲ್ಲಿಯವರೆಗೆ, ಹಂತ 3 ರಿಂದ ತಾತ್ಕಾಲಿಕ ರಕ್ಷಣೆಯನ್ನು ಅನ್ವಯಿಸಲು ಮರೆಯದಿರಿ.
ಅಲ್ಮಾಲಿನಕ್ಸ್ 8, 9, 10
ಸ್ಥಿರ ಕರ್ನಲ್‌ಗಳು ಪ್ರಸ್ತುತ ಪರೀಕ್ಷಾ ಭಂಡಾರದಲ್ಲಿ ಮಾತ್ರ ಲಭ್ಯವಿದೆ. ನೀವು ಉತ್ಪಾದನಾ ಸರ್ವರ್‌ನಲ್ಲಿ ಹಾಗೆ ಮಾಡಲು ಅನುಕೂಲಕರವಾಗಿದ್ದರೆ ಅವುಗಳನ್ನು ಸ್ಥಾಪಿಸಿ ಮತ್ತು ನವೀಕರಿಸುವ ಮೊದಲು ಸ್ನ್ಯಾಪ್‌ಶಾಟ್ ತೆಗೆದುಕೊಳ್ಳಲು ಮರೆಯದಿರಿ:
dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
rebootರೀಬೂಟ್ ಮಾಡಿದ ನಂತರ, ಹೋಲಿಕೆ ಮಾಡಿ uname -r ಮೇಲಿನ ಕೋಷ್ಟಕದಲ್ಲಿರುವ ಆವೃತ್ತಿಗಳೊಂದಿಗೆ. ನೀವು ಪರೀಕ್ಷಾ ಪ್ಯಾಕೇಜ್‌ಗಳನ್ನು ಸ್ಥಾಪಿಸಲು ಬಯಸದಿದ್ದರೆ, ತಾತ್ಕಾಲಿಕ ರಕ್ಷಣೆಯನ್ನು ಅನ್ವಯಿಸಿ ಮತ್ತು ಪರಿಹಾರವು ಮುಖ್ಯ ರೆಪೊಸಿಟರಿಯನ್ನು ತಲುಪುವವರೆಗೆ ಕಾಯಿರಿ.
ರಾಕಿ ಲಿನಕ್ಸ್ ಮತ್ತು ಇತರ RHEL-ಆಧಾರಿತ ವ್ಯವಸ್ಥೆಗಳು
ಇನ್ನೂ ಯಾವುದೇ ಪರಿಹಾರವಿಲ್ಲ. ನೀವು ಇದನ್ನು ಈ ಮೂಲಕ ವೀಕ್ಷಿಸಬಹುದು:
dnf --refresh updateinfo info --all --cves CVE-2026-98432ಪರಿಹಾರ ಬಿಡುಗಡೆಯಾದ ನಂತರ:
dnf update kernel
rebootನವೀಕರಿಸಿದ ನಂತರ: ರೀಬೂಟ್ ಅಗತ್ಯವಿದೆ
ರೀಬೂಟ್ ಮಾಡಿದ ನಂತರವೇ ಹೊಸ ಕರ್ನಲ್ ಕಾರ್ಯಗತಗೊಳ್ಳುತ್ತದೆ. ಒಂದು ಅಗತ್ಯವಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಲು:
# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"
# AlmaLinux, Rocky, RHEL
needs-restarting -rರೀಬೂಟ್ ಮಾಡಿದ ನಂತರ, ಹಂತ 1 ರಿಂದ ಪರಿಶೀಲನೆಯನ್ನು ಪುನರಾವರ್ತಿಸಿ.
ಹಂತ 3. ಸ್ಥಿರ ಕರ್ನಲ್ ಲಭ್ಯವಾಗುವವರೆಗೆ ತಾತ್ಕಾಲಿಕ ರಕ್ಷಣೆ
ಈ ಕ್ರಮಗಳು ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತವೆ ಆದರೆ ಕರ್ನಲ್ ನವೀಕರಣವನ್ನು ಬದಲಾಯಿಸುವುದಿಲ್ಲ.
ಟ್ರಿಗ್ಗರ್ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ನಿರ್ಬಂಧಿಸಿ
ಈ ದಾಳಿಯು IPv4 ಹೆಡರ್‌ನಲ್ಲಿ IP ಆಯ್ಕೆಗಳೊಂದಿಗೆ TCP ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಬಳಸುತ್ತದೆ. ಅವು ಸಾಮಾನ್ಯ ಟ್ರಾಫಿಕ್‌ನಲ್ಲಿ ಪ್ರಾಯೋಗಿಕವಾಗಿ ಎಂದಿಗೂ ಕಾಣಿಸಿಕೊಳ್ಳುವುದಿಲ್ಲ ಮತ್ತು RFC 7126 ಈಗಾಗಲೇ ಅವುಗಳನ್ನು ಕೈಬಿಡಲು ಶಿಫಾರಸು ಮಾಡುತ್ತದೆ. ಕೆಳಗಿನ nftables ನಿಯಮವು ಆಯ್ಕೆಗಳೊಂದಿಗೆ ಎಲ್ಲಾ ಒಳಬರುವ IPv4 TCP ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಕೈಬಿಡುತ್ತದೆ ಮತ್ತು IPv6, UDP ಅಥವಾ ICMP ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುವುದಿಲ್ಲ. ಇದು ufw ಮತ್ತು firewalld ಜೊತೆಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ.
nftables ಅನ್ನು ಈಗಾಗಲೇ ಸ್ಥಾಪಿಸದಿದ್ದರೆ ಅದನ್ನು ಸ್ಥಾಪಿಸಿ:
# Debian and Ubuntu
apt install -y nftables
# AlmaLinux, Rocky, RHEL
dnf install -y nftablesನಿಯಮ ಫೈಲ್ ಅನ್ನು ರಚಿಸಿ:
cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
chain pre {
type filter hook prerouting priority -300; policy accept;
meta l4proto tcp ip hdrlength gt 5 counter drop
}
}
EOFಪ್ರತಿ ರೀಬೂಟ್ ನಂತರ ನಿಯಮವನ್ನು ಪುನಃಸ್ಥಾಪಿಸಲು, systemd ಸೇವೆಯನ್ನು ರಚಿಸಿ:
cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service
[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432
[Install]
WantedBy=multi-user.target
EOF
systemctl daemon-reload
systemctl enable --now cve-2026-98432.serviceನಿಯಮ ಲೋಡ್ ಆಗಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ:
nft list table ip cve_2026_98432ನೀವು ಜಾಗತಿಕವಾಗಿ nftables ಸೇವೆಯನ್ನು ಮರುಪ್ರಾರಂಭಿಸಿದರೆ flush ruleset ಆಳುವುದು, ನಡೆಸುವುದು systemctl restart cve-2026-98432 ನಂತರ.
ಮುಖ್ಯ: CIPSO ಲೇಬಲ್‌ಗಳನ್ನು (SELinux ಅಥವಾ Smack NetLabel) ಬಳಸುವ ನೆಟ್‌ವರ್ಕ್‌ಗಳಲ್ಲಿ ಈ ನಿಯಮವನ್ನು ಅನ್ವಯಿಸಬೇಡಿ — IP ಆಯ್ಕೆಗಳನ್ನು ಸಾಮಾನ್ಯವಾಗಿ ಅಲ್ಲಿ ಬಳಸಲಾಗುತ್ತದೆ. ನಿಮ್ಮ ಸರ್ವರ್ ಇತರ ಯಂತ್ರಗಳಿಗೆ ಸಂಚಾರವನ್ನು ರೂಟ್ ಮಾಡಿದರೆ, ನಿಯಮವು IP ಆಯ್ಕೆಗಳೊಂದಿಗೆ ಅವುಗಳ TCP ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಸಹ ಬಿಡುತ್ತದೆ.
ನಿಮಗೆ ಅಗತ್ಯವಿಲ್ಲದಿದ್ದರೆ MPTCP ಅನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ.
sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.confಈ ಸೆಟ್ಟಿಂಗ್ ಮಾತ್ರ ತಡೆಯುತ್ತದೆ ಹೊಸ MPTCP ಸಾಕೆಟ್‌ಗಳನ್ನು ರಚಿಸಲಾಗುತ್ತಿಲ್ಲ. ಈಗಾಗಲೇ ಚಾಲನೆಯಲ್ಲಿರುವ ಸೇವೆಗಳು MPTCP ಮೂಲಕ ಆಲಿಸುತ್ತಲೇ ಇರುತ್ತವೆ, ಆದ್ದರಿಂದ ಪಟ್ಟಿ ಮಾಡಲಾದ ಪ್ರತಿಯೊಂದು ಸೇವೆಯನ್ನು ಮರುಪ್ರಾರಂಭಿಸಿ ss -lnMp ಮತ್ತು ಅದರ ಔಟ್‌ಪುಟ್ ಈಗ ಖಾಲಿಯಾಗಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಿ.
AlmaLinux ನಲ್ಲಿ, ನೀವೇ ಸಕ್ರಿಯಗೊಳಿಸದ ಹೊರತು MPTCP ಅನ್ನು ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಲಾಗುತ್ತದೆ.
ಗೋ ಪ್ರೋಗ್ರಾಂಗಳಲ್ಲಿ MPTCP ಅನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ
Go 1.24 ಅಥವಾ ನಂತರದ ಆವೃತ್ತಿಯೊಂದಿಗೆ ನಿರ್ಮಿಸಲಾದ ಸೇವೆಗಳಿಗಾಗಿ, ನೀವು ಪರಿಸರ ವೇರಿಯೇಬಲ್‌ನೊಂದಿಗೆ MPTCP ಅನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಬಹುದು. ಉದಾಹರಣೆಗೆ, myservice:
systemctl edit myserviceತೆರೆಯುವ ಫೈಲ್‌ಗೆ ಈ ಕೆಳಗಿನವುಗಳನ್ನು ಸೇರಿಸಿ:
[Service]
Environment=GODEBUG=multipathtcp=0ನಂತರ ಸೇವೆಯನ್ನು ಮರುಪ್ರಾರಂಭಿಸಿ:
systemctl restart myserviceಎಕ್ಸ್‌ರೇ ನವೀಕರಿಸಿ
ನಿಮ್ಮ ಸರ್ವರ್ Xray ಅನ್ನು ರನ್ ಮಾಡುತ್ತಿದ್ದರೆ, ಅದನ್ನು v26.10.31 ಅಥವಾ ನಂತರದ ಆವೃತ್ತಿಗೆ ನವೀಕರಿಸಿ. ಹಿಂದಿನ ಆವೃತ್ತಿಯಾದ v26.10.29 ಅನ್ನು ಅದರ ಡೆವಲಪರ್‌ಗಳು ಹಿಂತೆಗೆದುಕೊಂಡಿದ್ದಾರೆ. ಈ ನವೀಕರಣವು MPTCP ಅನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ ಆದರೆ ಕರ್ನಲ್ ಅನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಕರ್ನಲ್ ನವೀಕರಣವು ಇನ್ನೂ ಅಗತ್ಯವಿದೆ.
ಇನ್ನೊಂದು ಸೆಟ್ಟಿಂಗ್ ಪರಿಶೀಲಿಸಿ
ಎರಡನೆಯ, ಕಿರಿದಾದ ಶೋಷಣೆ ಮಾರ್ಗಕ್ಕೆ ವಿನಂತಿ ವಲಸೆಯನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವ ಅಗತ್ಯವಿದೆ. ಇದು ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ ಆಫ್ ಆಗಿದೆ - ಅದನ್ನು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಿ:
sysctl net.ipv4.tcp_migrate_reqಆಜ್ಞೆಯನ್ನು ಮುದ್ರಿಸಬೇಕು 0.
ನಿಮ್ಮ ಸೇವೆಗಳಿಗೆ ಪ್ರವೇಶವನ್ನು ನಿರ್ಬಂಧಿಸಿ
ಇಂಟರ್ನೆಟ್ ಮೂಲಕ ತಲುಪುವ ಅಗತ್ಯವಿಲ್ಲದ ಪ್ರತಿಯೊಂದು ಫೈರ್‌ವಾಲ್ ಪೋರ್ಟ್ ಅನ್ನು ಮುಚ್ಚಿ. ಸಾಧ್ಯವಾದರೆ, ಆಡಳಿತಾತ್ಮಕ ಸೇವೆಗಳನ್ನು - SSH, ನಿಯಂತ್ರಣ ಫಲಕಗಳು, ಡೇಟಾಬೇಸ್‌ಗಳನ್ನು - ವಿಶ್ವಾಸಾರ್ಹ IP ವಿಳಾಸಗಳಿಗೆ ಮಾತ್ರ ತೆರೆಯಿರಿ.
ಹಂತ 4. ಸ್ಥಿರ ಕರ್ನಲ್ ಅನ್ನು ಸ್ಥಾಪಿಸಿದ ನಂತರ
- ಸರ್ವರ್ ಅನ್ನು ರೀಬೂಟ್ ಮಾಡಿ ಮತ್ತು ಸ್ಥಿರ ಕರ್ನಲ್ ಚಾಲನೆಯಲ್ಲಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಲು ಹಂತ 1 ರ ಆಜ್ಞೆಗಳನ್ನು ಬಳಸಿ.
- ನೀವು ತಾತ್ಕಾಲಿಕ ನಿಯಮವನ್ನು ತೆಗೆದುಹಾಕಬಹುದು:
systemctl disable --now cve-2026-98432.service
rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
systemctl daemon-reload - ನಿಮಗೆ MPTCP ಅಗತ್ಯವಿದ್ದರೆ, ಸೆಟ್ಟಿಂಗ್ ಅನ್ನು ಪುನಃಸ್ಥಾಪಿಸಿ: ಅಳಿಸಿ
/etc/sysctl.d/99-disable-mptcp.confಮತ್ತು ಓಡುsysctl -w net.mptcp.enabled=1.
ಏನಾದರೂ ತಪ್ಪಾದಲ್ಲಿ
ಕರ್ನಲ್ ನವೀಕರಣದ ನಂತರ ನಿಮ್ಮ ಸರ್ವರ್ ಬೂಟ್ ಆಗದಿದ್ದರೆ, ನಿಯಂತ್ರಣ ಫಲಕದಲ್ಲಿರುವ VNC ಕನ್ಸೋಲ್ ಮೂಲಕ ಸಂಪರ್ಕಿಸಿ ಮತ್ತು ಬೂಟ್ ಮೆನುವಿನಲ್ಲಿ ಹಿಂದಿನ ಕರ್ನಲ್ ಅನ್ನು ಆಯ್ಕೆ ಮಾಡಿ. ನೀವು ಇದನ್ನು ನೀವೇ ಮಾಡಬಹುದು ಎಂದು ನಿಮಗೆ ಖಚಿತವಿಲ್ಲದಿದ್ದರೆ, ಅಥವಾ ನವೀಕರಣಕ್ಕೆ ಸಹಾಯ ಬೇಕಾದರೆ, ನಮ್ಮ ಬೆಂಬಲ ತಂಡವನ್ನು ಸಂಪರ್ಕಿಸಿ.
