Des informations sur la vulnérabilité (CVE-2026-43499) dans le noyau Linux, codée sous le nom de GhostLock, ont été révélées. Elle permet à un utilisateur local non privilégié d'obtenir des droits root sur le système, ainsi que de sortir des conteneurs isolés. Lorsqu'elle est utilisée en conjonction avec d'autres vulnérabilités dans les navigateurs, le problème identifié peut être utilisé pour une exécution de code à distance avec des droits root en ouvrant une page web spécialement conçue. Le problème se manifeste à partir du noyau Linux 2.6.39 (2011).
Il est affirmé que la vulnérabilité peut être exploitée sur toutes les distributions publiées au cours des 15 dernières années. Un exploit fonctionnel existe, dont les créateurs ont reçu de Google une récompense de 92 337 $ pour une élévation de privilèges réussie dans un environnement avec le noyau KernelCTF (Capture the Flag), incluant des correctifs supplémentaires pour bloquer les méthodes d'exploitation courantes. Le taux de réussite de cet exploit est estimé à 97 %. La vulnérabilité a été identifiée à l'aide de l'outil d'IA VEGA.
Le correctif a été intégré dans la base de code du noyau le 21 avril et fait partie des versions du noyau 7.1.0, 6.18.36, 6.12.95, 6.6.144 et 6.1.177. L'état de remédiation des vulnérabilités dans les distributions peut être évalué sur les pages suivantes : Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinux, Gentoo, Arch, Fedora. Il n'existe pas de solutions de contournement pour bloquer le problème.
La vulnérabilité est présente dans l'implémentation des verrous futex et est causée par un accès à la mémoire après sa libération, qui se produit lors de l'utilisation du mécanisme d'héritage des priorités, empêchant les inversions de priorité (bloquer une tâche à haute priorité en raison de l'attente de libération d'une ressource occupée par une tâche à basse priorité). Dans une situation où l'acquisition du verrou échoue, le noyau restaure l'état et appelle la fonction de nettoyage. Dans certaines circonstances, la fonction de nettoyage est appelée au mauvais moment et libère la structure de données d'une autre tâche, laissant un pointeur pendu (dangling pointer) pointant vers une mémoire déjà libérée.
Exploiter une vulnérabilité consiste à créer des conditions pour qu'un pointeur suspendu apparaisse, en utilisant uniquement les appels système disponibles à l'utilisateur pour travailler avec les threads, en réalisant un primitive d'écriture à l'aide d'un pointeur suspendu dans une zone mémoire arbitraire du noyau, et en appliquant cette primitive pour substituer le saut dans la table des fonctions du noyau pour intercepter le flux de contrôle.
Dans l'exploit proposé, il y a une réécriture du pointeur dans la table des fonctions inet6_protos[IPPROTO_UDP], après quoi un paquet UDP est envoyé à l'interface de loopback en IPv6, durant le traitement duquel un gestionnaire, dont le pointeur a été substitué à l'étape précédente, est appelé. Pour obtenir l'accès root, le code de l'exploit qui a pris le contrôle inscrit dans /proc/sys/kernel/core_pattern son propre gestionnaire, appelé avec des droits root en cas de plantage des processus.
En plus du problème examiné, plusieurs autres vulnérabilités dangereuses ont été identifiées dans le noyau Linux :
- Januscape (CVE-2026-53359) — accès à la mémoire après sa libération (use-after-free) dans les composants de l'hyperviseur, KVMexécutés du côté de la machine virtuelle pour émuler le contrôle de la mémoire (MMU) et la translation des adresses entre l'hôte et le système invité. La vulnérabilité se manifeste sur les systèmes avec processeurs Intel et AMD et permet d'accéder à l'environnement hôte avec des droits root si l'accès avec des droits root est présent dans le système invité.
Un prototype de l'exploit est disponible pour charger, altérant le contenu de la structure de données côté système hôte, utilisée lors de la translation des adresses. L'exploit publié entraîne un plantage du système hôte, mais selon le chercheur ayant identifié le problème, il a également créé un exploit pour exécuter du code dans l'environnement hôte avec des droits root, mais ne le publie pas encore pour permettre l'installation des mises à jour.
Le problème est dû à une erreur commise il y a 16 ans, et a été corrigé dans les mises à jour 7.1.3, 6.18.38, 6.12.95, 6.6.144 et 6.1.177. Le statut de la correction des vulnérabilités dans les distributions peut être évalué sur ces pages : Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. Le chercheur ayant identifié la vulnérabilité a reçu une récompense de 250 000 dollars de Google dans le cadre de l'initiative kvmCTF.
Pour sortir du système invité sur serveurs Une autre vulnérabilité ITScape (CVE-2026-46316) a été identifiée par le même chercheur sur les processeurs ARM64, provoquée par une condition de concurrence dans le code d'émulation vGIC-ITS (Interrupt Translation Service) dans KVM. Un prototype d'exploit a également été publié pour ce problème.
- Bad Epoll (CVE-2026-46242) est une condition de concurrence qui entraîne un accès à la mémoire après sa libération, dans la sous-système du noyau epoll. La vulnérabilité permet à un utilisateur local non privilégié d'exécuter du code avec les droits root. Ce problème est remarquable car il permet d'attaquer non seulement les distributions Linux classiques, mais aussi les firmwares basés sur la plateforme Android, et n'est pas bloqué par l'isolation sandbox dans Chrome. Un exploit fonctionnel a été démontré lors de la compétition kernelCTF (Google a versé $71,337 à l'auteur). La fiabilité de l'exploit est estimée à 99%.
Le problème se manifeste à partir du noyau Linux 6.4 (2023). Les développeurs du noyau ont été informés du problème le 17 février, mais la correction n'a pu être développée qu'après plusieurs tentatives infructueuses, le 24 avril. Le problème a été résolu dans les noyaux 6.18.24, 6.12.83, 6.6.136. L'état de la correction des vulnérabilités dans les distributions peut être évalué sur ces pages : Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
- CVE-2026-46215 est un accès à la mémoire après sa libération dans l'implémentation ioctl DRM_IOCTL_GEM_CHANGE_HANDLE dans le sous-système DRM (Direct Rendering Manager). Un utilisateur local ayant accès aux dispositifs /dev/dri/renderD* (le service systemd-logind donne accès à tous les utilisateurs lors du démarrage d'une session graphique dans toutes les grandes distributions) peut obtenir des droits root sur le système. Un exploit existe. Le problème se manifeste à partir du noyau 6.18 et a été corrigé dans les mises à jour 7.0.9 et 6.18.32. L'état de la correction des vulnérabilités dans les distributions peut être évalué sur ces pages : Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
Source : opennet.ru
