Vulnérabilité exploitée à distance dans la pile TCP du noyau Linux.

La société Anthropic a révélé une vulnérabilité critique (CVE-2026-98432) dans la pile TCP du noyau Linux, permettant l'exécution de code à distance via l'envoi de paquets spécialement formatés. Un exploit fonctionnel a été créé, permettant d'exécuter du code au niveau du noyau et d'obtenir à distance les droits root dans le système. L'exploit préparé est adapté à l'attaque des systèmes avec des processus serveur acceptant des connexions via des sockets réseau, prenant en charge le protocole MPTCP (Multipath TCP). La prise en charge de MPTCP peut être activée pour des sockets réseau spécifiques, ce qui est fait par défaut dans la bibliothèque standard du langage Go à partir de la version Go 1.24 (février 2025).

L'exploit préparé peut être utilisé avec n'importe quelle application serveur en Go, y compris le serveur HTTP Caddy, si des paquets réseau peuvent être envoyés au socket d'écoute créé par ces applications. Étant donné que la vulnérabilité se trouve directement dans la pile IPv4 et n'est pas spécifique à MPTCP, il n'est pas exclu de créer des exploits fonctionnant sans lien avec MPTCP, bien que de tels exploits n'aient pas encore été démontrés. Par exemple, l'exploitation de la vulnérabilité peut être possible lors du traitement des requêtes de migration de sockets, accessible dans des configurations avec le paramètre net.ipv4.tcp_migrate_req=1 ou lors de l'utilisation de programmes eBPF avec l'option BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.

La vulnérabilité est causée par une condition de course qui survient lors du traitement simultané de requêtes SYN retransmises lors de l'établissement d'une connexion TCP. Comme la fonction tcp_v4_syn_recv_sock() transmet au socket enfant des paramètres provenant de la structure ireq->ireq_opt par référence, et non par copie, dans certaines circonstances, une situation se produit où la mémoire des structures inet_opt et ireq_opt avec les paramètres du socket a déjà été libérée, mais les options de socket associées continuent d'être utilisées (use-after-free).

L'exploitation à distance se fait par l'envoi d'une série de requêtes réseau synchronisées dans le temps. L'exploit créé est également applicable aux noyaux qui utilisent la randomisation des adresses (KASLR), mais atteindre la fenêtre d'état de course prend beaucoup de temps et nécessite de nombreuses tentatives. L'exploitation est facilitée par le fait que ne pas atteindre la fenêtre d'état de course entraîne uniquement une réinitialisation de la session d'établissement de connexion (handshake), et non un crash du noyau, ce qui permet de continuer indéfiniment à essayer. Dans le prototype de l'exploit créé, l'attaque a duré environ une heure : 48 minutes pour déterminer la disposition de la mémoire et encore 5 minutes pour organiser l'exécution du code.

Aucune solution garantissant le blocage des vulnérabilités n'a encore été présentée — la seule option fiable proposée est de mettre à jour le noyau. Le problème apparaît à partir de la version 4.4 du noyau Linux et a été résolu dans les versions 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 et 7.3. Le statut de la correction des vulnérabilités dans les distributions peut être évalué sur les pages suivantes : Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch,
Fedora.

Parmi les recommandations pour contrer les méthodes d'exploitation spécifiques qui ne bloquent pas la vulnérabilité de manière générale, on peut citer la désactivation du support MPTCP et le paramètre sysctl du noyau net.ipv4.tcp_migrate_req défini sur 0 :

sysctl -w net.mptcp.enabled=0
sysctl -w net.ipv4.tcp_migrate_req=0

Pour vérifier la présence de processus utilisant des sockets avec
MPTCP, les commandes suivantes peuvent être utilisées :

ip mptcp endpoint show
ip mptcp limits show

Pour désactiver le support MPTCP dans les programmes en Go, il convient d'utiliser le drapeau «multipathtcp=0», que l'on peut définir en utilisant la variable d'environnement «GODEBUG=multipathtcp=0». Pour désactiver le support MPTCP lors de la compilation, il suffit d'ajouter «godebug multipathtcp=0» au fichier avec le module go.mod. Dans le code de l'application, l'utilisation de MPTCP peut être désactivée via les fonctions net.Dialer.SetMultipathTCP et net.ListenConfig.SetMultipathTCP.

En plus du problème examiné, Anthropic a également annoncé une série de vulnérabilités exploitables localement dans le noyau Linux, OpenBSD et FreeBSD, permettant d'obtenir des droits root dans le système et de sortir des conteneurs isolés; des vulnérabilités dans Chrome et Safari, conduisant à l'exécution de code dans le système lors de l'ouverture de pages web spécialement conçues; une vulnérabilité dans le noyau Windows provoquant un crash; une vulnérabilité sur la plateforme Android permettant de contourner le verrouillage de l'écran et d'accéder à des informations personnelles et des photos sans déverrouillage de l'appareil (attaque démontrée sur le smartphone Google Pixel 9).

La vulnérabilité a été confirmée dans de nombreuses images officielles Docker, y compris les images couchbase, elasticsearch, flink, solr, storm, etc.

• Dans nginx, la possibilité d'activer l'option IPPROTO_MPTCP pour le socket réseau à l'écoute est disponible depuis la version 1.29.7, mais n'est pas appliquée par défaut.
• Dans Lighttpd, l'option pour activer MPTCP est disponible depuis la version 1.4.76.
• Dans Apache httpd, des correctifs pour le support de MPTCP ont été ajoutés à la branche Apache httpd 2.5-HEAD en 2024.
• Dans systemd, le support pour activer MPTCP sur activation par socket a été ajouté dans la version 257.
• Dans Apache Traffic Server, l'option pour activer MPTCP est supportée depuis la version 9.2.4.
• Dans HAProxy, l'option « mptcp{,4,6}@
  » est disponible depuis la version 3.1.0.
• Dans Traefik, le drapeau IPPROTO_MPTCP est activé par défaut à partir des versions 2.11.26, 3.4.2 et v3.5.0-rc1.
• Dans la base de données Valkey, l'option « --mptcp » et les configurations « mptcp yes » et « repl-mptcp yes » sont disponibles depuis la version 9.0.0.

Source : opennet.ru