Linux corrige une faille critique exploitable à distance via TCP IPv4

Ce qui est nouveau

L’équipe de sécurité du noyau Linux a publié des correctifs pour CVE-2026-98432, une vulnérabilité notée 9,8 selon le système de notation de gravité CVSS. Introduite dans Linux 4.4, elle touche l’établissement des connexions TCP sur IPv4. Des paquets spécialement construits, contenant des options IP, peuvent déclencher un plantage du noyau, une divulgation de mémoire ou une corruption mémoire, sans authentification.

L’avis du noyau répertorie notamment la version corrigée 7.3. La disponibilité dans les distributions suit toutefois des calendriers distincts.

Amazon Web Services (AWS) annonce des paquets corrigés pour Amazon Linux 2 et Amazon Linux 2023. Canonical indique qu’Ubuntu 26.10 est corrigé dans le noyau 7.3.0-10.10. Pour Ubuntu 22.04, 24.04 et 26.04, les correctifs restent dans le dépôt de test « -proposed » ; ceux des versions antérieures encore prises en charge sont en préparation.

Ce qui change et pourquoi

Le défaut vient d’un partage de mémoire pendant l’ouverture d’une connexion. Deux cœurs du processeur peuvent accéder simultanément aux mêmes options IP : l’un libère leur mémoire tandis que l’autre continue de la lire pour répondre à une demande de connexion retransmise. C’est une utilisation de mémoire après libération.

Le correctif diffère cette libération jusqu’à la fin des lectures en cours. Chez Ubuntu, Canonical explique le maintien des paquets en test par les vérifications de stabilité précédant leur diffusion générale.

Pourquoi c’est important

La portée dépasse le déni de service. AWS rapporte une démonstration d’exécution de code à distance sans authentification sur des machines utilisant une interface d’écoute Multipath TCP (MPTCP), une extension de TCP permettant plusieurs chemins réseau. Canonical précise néanmoins que la vulnérabilité elle-même n’est pas limitée à MPTCP.

Cette démonstration ne prouve pas une exploitation en conditions réelles : dans son bulletin actualisé le 4 novembre, AWS indique ne disposer d’aucune preuve d’utilisation de la faille dans des attaques.