Ubuntu अभी भी Linux 0day RCE के लिए पैच जारी नहीं कर पाया है, लगभग 3 सप्ताह बीत चुके हैं
Ubuntu पर आलोचना हो रही है कि उसने एक गंभीर Linux remote code execution vulnerability (CVE-2026-98432) के लिए stable kernel patches जारी करने में लगभग तीन सप्ताह लगा दिए, जबकि अन्य बड़े distributions पहले ही fixes जारी कर चुके हैं। टिप्पणीकार Canonical की धीमी, अधिक गहराई से परीक्षण की जाने वाली release process और सार्वजनिक रूप से चर्चित network-exploitable bug के बढ़े हुए जोखिम तथा खराब छवि के बीच trade-off पर बहस कर रहे हैं, और iptables/nftables rules जैसी interim mitigations के साथ unpatched consumer routers की चिंता साझा कर रहे हैं। यह घटना कुछ administrators को Ubuntu से हटकर Debian या अन्य systems की ओर देखने के लिए प्रेरित कर रही है, और Canonical की communication पर आलोचना फिर से उभर आई है; साथ ही Freenode.net की विवादास्पद ownership के कारण उसे source मानने पर संदेह भी बढ़ा है.
Ubuntu की देरी से आई पैच और प्रक्रिया
- कई लोग इस बात से निराश हैं कि अन्य डिस्ट्रो (जैसे RHEL, Debian, Gentoo, MikroTik, OpenWRT) ने सुधार जारी कर दिए, जबकि Ubuntu के LTS kernels हफ्तों तक बिना पैच के रहे।
- Ubuntu के पास “proposed” pocket में fixes हैं, लेकिन बताया जा रहा है कि ये कुछ flavors में regressions लाते हैं, जो सावधानी की वजह हो सकता है।
- कुछ लोगों का तर्क है कि Ubuntu के कई kernel variants और व्यापक testing की ज़रूरत धीमी rollout को उचित ठहराती है; जबकि अन्य इसे bureaucracy और “governance types” को बाधा मानते हैं।
- Ubuntu की तरफ़ से स्पष्ट, proactive communication की कमी एक बार-बार उठने वाली शिकायत है।
Mitigation strategies और सीमाएँ
- कई टिप्पणियों में iptables/nftables rules साझा किए गए हैं, जो IP options वाले IPv4 TCP packets को (
raw PREROUTINGमें) drop करते हैं, या सामान्य रूप से options वाले ingress/egress को block करते हैं। - MPTCP को disable करना भी एक mitigation के रूप में चर्चा में है।
- RHEL और अन्य स्पष्ट रूप से कहते हैं कि ये उपाय केवल “reduce exposure” करते हैं, शोषण को पूरी तरह रोक नहीं सकते।
- चर्चा में कारण बताए गए: local malicious processes, chained exploits (app-level RCE → loopback के जरिए kernel RCE), eBPF द्वारा netfilter को bypass करना, अलग network namespaces (containers, Firejail)।
- डिफ़ॉल्ट “deny all incoming” firewalls अपने-आप इस समस्या को ठीक नहीं करते, क्योंकि बग सामान्य filter rules से पहले TCP connection handling में है।
Exploitability और वास्तविक दुनिया का जोखिम
- कई unpatched servers संभालने वाले कुछ admins रिपोर्ट करते हैं कि कोई हमले नहीं देखे गए और इस जोखिम को बढ़ा-चढ़ाकर बताया गया मानते हैं, क्योंकि bug में narrow race condition है और IP options का उपयोग बहुत कम होता है।
- दूसरे जवाब देते हैं कि दिखाई देने वाले incidents की अनुपस्थिति सुरक्षा साबित नहीं करती, और पहले के worms का उदाहरण देते हैं जो कुछ देरी के बाद ही दिखे थे।
- Honeypot और packet-count anecdotes बताते हैं कि wild में IP-options packets बहुत कम हैं, लेकिन डेटा anecdotal और अधूरा है।
Distro choice और trust पर प्रभाव
- कई उपयोगकर्ता कहते हैं कि यह घटना भविष्य की deployments को Ubuntu से Debian या अन्य distros की ओर ले जाने के लिए पर्याप्त है, और वे volunteers को commercial vendor से बेहतर प्रदर्शन करता हुआ देखते हैं।
- अन्य लोग जवाब देते हैं कि कई शिकायत करने वाले Ubuntu के लिए भुगतान नहीं करते, और उनकी अपेक्षाएँ शायद मेल नहीं खातीं।
Freenode.net एक source के रूप में
- कई टिप्पणियाँ चेतावनी देती हैं कि hostile takeover के बाद freenode.net अब community IRC network नहीं रहा और इसे open source के प्रति hostile माना जाता है।
- कुछ लोग हैरान हैं कि HN इसे लिंक भी करता है, और इसे एक untrusted, biased source मानने की सलाह देते हैं।
Routers, IoT, और वैकल्पिक platforms
- चिंता है कि अधिकांश consumer routers/APs unpatched, पुराने Linux kernels चलाते हैं जिनमें firmware updates बहुत कम होते हैं।
- Mitigations में OpenWRT, Turris, MikroTik, ISP-managed updates, या custom router (जैसे Debian या BSD-based) चलाना शामिल है।
- कुछ लोगों का तर्क है कि specialized network OSes और HardenedBSD/FreeBSD deployments दिखाते हैं कि high-value targets के लिए Linux हमेशा सबसे अच्छा kernel नहीं होता।