Une série de vulnérabilités a été identifiée dans le noyau Linux et FreeBSD. Les vulnérabilités dans Linux permettent l'exécution de code à distance, l'élévation de privilèges dans le système, la sortie des conteneurs ou le contournement de l'isolement des machines virtuelles. Les vulnérabilités dans FreeBSD permettent d'arrêter à distance le noyau, d'élever ses privilèges dans le système et de contourner l'isolement de l'hyperviseur Bhyve.
Vulnérabilités dans le noyau Linux :
- 5 vulnérabilités révélées par le projet Zero Day Initiative avant la publication des correctifs à cause d'une envoi d'informations erronée à la mauvaise liste de distribution :
- ZDI-CAN-33549 — vulnérabilité dans le module ksmbd avec mise en œuvre de fichiers de serveurs basée sur le protocole SMB, qui peut être exploitée pour une exécution de code à distance au niveau du noyau. Le problème est causé par un dépassement d'entier dans la fonction mbdirect_connection_rdma_xmit(), qui se manifeste si le noyau est compilé avec les options « CONFIG_SMB_SERVER_SMBDIRECT=y » et « CONFIG_RDMA_RXE=y ». Pour réussir une attaque, l'attaquant doit avoir la capacité d'écrire dans le stockage partagé fourni par la cible, serveur, où des technologies RDMA et SMB Direct doivent également être utilisées. Un prototype de l'exploit est disponible, fonctionnant sous Debian 13.
- ZDI-CAN-33774 — condition de course dans le module du noyau ksmbd, entraînant l'écriture de 62 octets de données dans un tampon de 40 octets alloué pour le protocole SMB1 à partir de l'en-tête SMB2. La vulnérabilité peut permettre l'exécution de code à distance en cas d'accès à un stockage SMB traité via ksmbd. Un prototype de l'exploit est disponible, fonctionnant sous Debian 13.
- ZDI-CAN-33367 — vulnérabilité dans la pile réseau du noyau, permettant à un utilisateur local d'obtenir des droits root dans le système en écrivant des données du processus dans le cache de pages, semblable aux vulnérabilités Dirty Frag et Fragnesia. Cette fois, le problème est causé par une erreur dans la fonction
skb_zerocopy(). Un prototype de l'exploit a été préparé, fonctionnant sur différentes versions d'Ubuntu. Un correctif est disponible sous la forme d'un patch. Pour l'instant, seuls les développeurs d'Alma Linux ont formé une mise à jour de paquets du noyau en urgence, dans laquelle cette vulnérabilité a été corrigée. - ZDI-CAN-34068 — dépassement de tampon dans le pilote graphique VMWGFX, utilisé pour mettre en œuvre l'accélération 3D dans les environnements VMware. Le problème permet à un utilisateur local d'obtenir des droits root dans le système, en ayant accès au GPU virtuel via le dispositif /dri/card*. Un prototype de l'exploit est disponible, fonctionnant sous Ubuntu 26.04.
- ZDI-CAN-34076 — vulnérabilité dans le pilote nvmet (cible NVMe), entraînant une fuite d'informations sur le contenu de la mémoire du noyau.
- Des informations ont été révélées et des prototypes d'exploits pour 5 vulnérabilités dans le noyau ont été publiés, permettant à un utilisateur non privilégié d'obtenir des privilèges root dans le système et de contourner l'isolation des conteneurs. Ce groupe de vulnérabilités a reçu le nom de code « Infinity Core ». Les problèmes ont déjà été corrigés dans les versions actuelles du noyau.
- CVE-2026-98260 — accès à la mémoire après sa libération en raison de la réutilisation d'une structure de minuterie POSIX, où la mémoire a été libérée dans le thread principal après un plantage lors de l'appel à exec(), mais une référence est restée dans la file d'attente (timerqueue) dans un autre thread. Un prototype d'exploit est disponible, dont le fonctionnement a été démontré sous Ubuntu 26.04 et sur Android sur le smartphone Samsung Galaxy S26 Ultra.
- CVE-2026-98256 — accès à la mémoire après sa libération en raison d'une condition de course entre l'appel à exec() dans un thread secondaire et le nettoyage de la file d'attente des signaux (sigqueue) en attente de traitement. Lors de la manipulation de la file d'attente, il peut se produire une situation où une référence au gestionnaire de signaux reste dans la file d'attente après la libération de la mémoire y étant associée, puis sera utilisée lors du traitement des signaux. Le fonctionnement de l'exploit a été démontré sous Ubuntu 26.04.
- CVE-2026-89754 — débordement de tampon dans l'implémentation de l'appel système mincore(), survenant en raison d'une condition de course lors de la nouvelle itération des tables de pages mémoire après l'exécution de madvise(MADV_DONTNEED). Le fonctionnement de l'exploit a été démontré sous Ubuntu 26.04.
- CVE-2026-80775 — accès à la mémoire après sa libération dans l'appel système prctl(), survenant en raison d'un suivi incorrect des compteurs de référence pour les hachages de fuytex lors de l'apparition
d'une condition de course entre des tâches partageant une structure mm_struct lors d'un appel imbriqué à vfork(). Un exploit utilisant la vulnérabilité pour réécrire /usr/bin/passwd dans le cache de pages a été démontré sous Ubuntu 26.04. - CVE-2026-98385 — accès à la mémoire après sa libération dans le gestionnaire de cache du planificateur de tâches, provoqué par le fait que le planificateur met à jour les champs de statistiques dans la structure mm_struct pour une tâche après la libération de la mémoire associée lors de l'exécution d'un appel exec() sur un autre cœur CPU. La vulnérabilité se manifeste dans les noyaux avec l'option CONFIG_SCHED_CACHE activée. L'exploitation a été démontrée dans
Arch Linux avec le noyau 7.2.4.
- Vulnérabilité Vghost (CVE-2026-74580) dans la sous-système du noyau vhost, utilisé pour accélérer les opérations d'entrée/sortie via Virtio dans les systèmes de virtualisation. La vulnérabilité est causée par un traitement incorrect du cache des tables de traduction d'adresses d'entrée/sortie (IOTLB) et peut être utilisée pour élever ses privilèges dans le système et contourner l'isolation de la machine virtuelle. Lors de la reconfiguration des adresses ou des tailles des files d'attente (vring) via les appels VHOST_SET_VRING_ADDR ou VHOST_SET_VRING_NUM, le cache vq->meta_iotlb[] n'était pas vidé, ce qui entraînait la traduction de nouvelles adresses avec des enregistrements de mappage de mémoire qui étaient déjà invalides.
Un prototype d'exploit pour obtenir des privilèges root a été publié, testé sur les distributions Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023.12.20260817, Azure Linux 3.0 et Oracle Linux 10.2.
Il est possible d'utiliser la vulnérabilité pour exécuter du code au niveau du noyau de l'hôte à travers des manipulations avec l'appel VIRTIO_F_RING_RESET dans la machine virtuelle dans des environnements virtualisés avec un IOMMU virtuel.
Le problème se manifeste à partir du noyau Linux 4.11 et a été corrigé dans les versions 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 et 7.2. Comme solution de contournement, l'accès aux dispositifs /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi et /dev/vhost-vdpa-* peut être restreint.
Vulnérabilités dans FreeBSD (corrigées dans les mises à jour 15.1-RELEASE-p5, 14.5-RELEASE-p2 et 14.4-RELEASE-p11) :
- CVE-2026-101308 — accès à la mémoire après sa libération dans le pilote audio, provoqué par une condition de course entre l'opération de redimensionnement du tampon et le mappage de la mémoire via mmap. La vulnérabilité permet potentiellement à un utilisateur local ayant accès à un dispositif audio d'obtenir des privilèges root.
- CVE-2026-101309, CVE-2026-101310, CVE-2026-101311 — vulnérabilités dans les composants de l'hyperviseur Bhyve, permettant, par des manipulations dans le système invité, d'exécuter du code dans l'environnement d'hébergement. Les problèmes sont causés par des dépassements de tampon dus à des conditions de concurrence dans le modèle de contrôleur xHCI (USB 3), ainsi que par l'absence de vérifications de taille des enregistrements dans les modèles de dispositifs HDA (High Definition Audio) et framebuffer.
- CVE-2026-101307 — débordement d'entier dans le module tcp_rack avec implémentation de l'algorithme de détection de perte de paquets RACK (Recent ACKnowledgment), entraînant l'allocation d'un tampon trop petit pour contenir toutes les données reçues. La vulnérabilité permet d'écraser jusqu'à 512 Ko de données dans la zone hors limites du tampon lors de l'envoi d'un grand nombre de paquets ACK dans une connexion TCP établie. Il est noté que l'exploitation peut entraîner un plantage du noyau dans un état de panic.
Source : opennet.ru
