WTF Ubuntu?

मूल लेख ↗ Hacker News चर्चा ↗

एक गंभीर Linux kernel vulnerability (CVE‑2026‑98432, 9.8/10) पर Ubuntu की धीमी प्रतिक्रिया ने Canonical के समय पर security support देने के वादे पर भरोसा हिला दिया है, यहाँ तक कि paying Ubuntu Pro customers के लिए भी। टिप्पणीकार बताते हैं कि Debian, Arch, Alpine और Slackware जैसी volunteer-run distributions ने patched kernels कई दिन पहले जारी कर दिए थे, जिससे कई लोग servers और desktops के लिए Debian, Rocky/Alma या NixOS पर migration पर विचार करने या शुरू करने लगे हैं। यह चर्चा Canonical की संस्कृति, tooling (Snaps, netplan) और प्राथमिकताओं को लेकर व्यापक चिंताएँ भी सामने लाती है, और firewall rules जैसी अस्थायी mitigations को रेखांकित करती है, साथ ही यह सवाल उठाती है कि क्या enterprise Linux users अभी भी critical infrastructure के लिए Ubuntu पर भरोसा कर सकते हैं।

CVE-2026-98432 के प्रति Ubuntu का व्यवहार

  • थ्रेड का केंद्र इस निराशा पर है कि एक उच्च-स्कोर TCP/IP kernel भेद्यता के खुलासे के हफ्तों बाद भी Ubuntu ने stable kernel updates जारी नहीं किए, जबकि Debian और अन्य distros ने कर दिए हैं।
  • Ubuntu के अपने CVE पेज पर इसे high/critical दर्ज किया गया है, लेकिन लंबे समय तक वहाँ कोई mitigation नहीं थी और package info भी भ्रमित करने वाली/कम-गुणवत्ता वाली थी।
  • कई लोगों के अनुसार यह Ubuntu की LTS/security promises का उल्लंघन है, खासकर Canonical के paid Ubuntu Pro offering और “accelerating CVE fixes” पर हालिया marketing को देखते हुए।
  • बाद में Canonical की एक टिप्पणी कहती है कि patched kernels -proposed pocket में 22.04+ के लिए हैं और उनका 2-सप्ताह का SRU cycle कई kernels पर अतिरिक्त testing मांगता है; critics का तर्क है कि network RCE-class bug के लिए यह बहुत धीमा है।

Bug की severity और exploitability

  • Anthropic का दावा है कि specially crafted TCP packets के जरिए root हासिल करने वाला working exploit मौजूद है; कुछ security teams और cloud vendors इसे emergency rules की जरूरत जितना गंभीर मानते हैं।
  • दूसरे लोग बताते हैं कि कई advisories (जैसे vendors की) crash/DoS पर ज़ोर देती हैं, remote code execution स्पष्ट रूप से प्रदर्शित नहीं है, और EPSS estimate कम है।
  • असहमति: कुछ लोग कहते हैं कि public PoC के बिना panic ज़्यादा है; अन्य का कहना है कि remote kernel memory corruption और cloud infra के केंद्रीकरण का संयोजन अधिकतम urgency को उचित ठहराता है।

Mitigations और interim fixes

  • कई व्यावहारिक mitigations पर चर्चा हुई:
    • Firewall rules (iptables/nftables या Suricata) जो IP options set वाले IPv4 packets को drop करें।
    • MPTCP को disable करने का सुझाव पहले दिया गया, लेकिन बाद में इसे अधूरा बताया गया; bug IP options के बारे में है, strictly MPTCP के बारे में नहीं।
  • कुछ users ने खुद kernels build किए या live-patch किए; अन्य ने Ubuntu के -proposed या non-Ubuntu sources (जैसे Debian, Proxmox) से kernels लिए।

Ubuntu बनाम Debian और अन्य distros

  • कई लोगों का कहना है कि यह उनके लंबे समय के विचार की पुष्टि करता है: servers के लिए plain Debian (या Rocky/Alma, Fedora, NixOS, Alpine, Slackware) Ubuntu से बेहतर है।
  • Debian के पक्ष में तर्क: यहाँ तेज़ security response, सरल/“purer” packaging, कोई snaps नहीं, कोई Pro nags नहीं, और लंबे समय का भरोसा।
  • ऐतिहासिक रूप से Ubuntu के पक्ष में तर्क: बेहतर proprietary driver support, predictable LTS cadence, vendor images, ecosystem mindshare, और commercial support; कुछ लोग फिर भी Ubuntu के overall track record का बचाव करते हैं और कई kernels पर testing burden पर ज़ोर देते हैं।

मुफ़्त बनाम paid software से अपेक्षाएँ

  • एक पक्ष: “जितना दाम, उतनी चीज़; free users को शिकायत नहीं करनी चाहिए।”
  • जवाबी पक्ष: Canonical enterprise-grade security का marketing करता है, Pro के लिए charge करता है, और फिर भी paying customers तक को समय पर patches नहीं दिए, इसलिए आलोचना उचित है।

व्यापक themes

  • हाल के कई CVEs (brotli, PHP, KVM “PwnEscape”) को इस बात के संकेत के रूप में उद्धृत किया गया कि Ubuntu और RHEL सहित बड़े vendors तालमेल बनाए रखने में संघर्ष कर रहे हैं।
  • कई प्रतिभागियों का कहना है कि यह घटना उनके लिए Ubuntu से Debian या RHEL-clones पर servers migrate करने का व्यक्तिगत turning point है, अक्सर automation और AI tools की मदद से।