Vulnérabilités critiques dans le noyau Linux, KVM, Exim, Unbound, Ghostscript et Suricata

Plusieurs vulnérabilités récemment découvertes permettent d'obtenir un accès root au système ou d'exécuter du code à distance.

• Des informations sur quatre vulnérabilités du noyau Linux ont été révélées, permettant à un utilisateur local non privilégié d'exécuter du code avec des droits root. Les problèmes ont été corrigés dans les mises à jour du noyau Linux 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 et 7.2.4. Des exploits ont été préparés pour toutes les vulnérabilités, dont le fonctionnement a été démontré dans Fedora 43/44 et Ubuntu 24.04. Pour exploiter les trois premières vulnérabilités, il faut la possibilité de créer des espaces de noms d'identifiants utilisateurs (user namespace) ou de disposer des droits CAP_NET_ADMIN, ainsi que d'activer le support des sous-systèmes contenant les vulnérabilités (AH6/XFRM, TUN, PPPoE et SCTP).
  • DirtyAH6 (CVE-2026-80844, exploit) — débordement de tampon dans le gestionnaire IPsec AH (Authentication Header), résultant de l'absence de vérification des valeurs spécifiées dans l’en-tête. En plus d'une attaque locale, la vulnérabilité pourrait théoriquement être exploitée à distance dans des conditions spécifiques.
  • TUNderflow (CVE-2026-81000, exploit) — écriture en dehors du tampon alloué lors de l'analyse d'un paquet TUN mal formé.
  • PPPoEject (CVE-2026-68121, exploit) — accès à la mémoire déjà libérée dans le pilote PPPoE.
  • DiagSpill (CVE-2026-74469, exploit) — débordement de tampon dans les outils de diagnostic du protocole SCTP. En plus d'une attaque locale, la vulnérabilité pourrait théoriquement être exploitée à distance dans des conditions spécifiques.
• Vulnérabilité (CVE-2026-89775) dans l'hyperviseur KVM, permettant d'accéder à l'environnement hôte depuis le système invité. Lorsque les utilisateurs non privilégiés ont accès à l'appareil /dev/kvm (par défaut sur RHEL), la vulnérabilité peut également être utilisée pour élever leurs privilèges dans le système. Le problème ne se manifeste que sur les systèmes avec une architecture ARM64 avec le support de la virtualisation imbriquée activé. La vulnérabilité est causée par le fait que la procédure de calcul de la taille retournait « 0 », laissant entendre que la taille était inconnue, et que la fonction de libération des pages mémoire traitait « 0 » comme une véritable valeur et ne nettoyait pas les pages mémoire.
• Dans la version de mail de serveurs Exim 4.100.1, quatre vulnérabilités ont été corrigées : lecture de données en dehors du tampon et utilisation de données non initialisées dans l'implémentation du protocole Proxy ; accès à la mémoire après sa libération dans TLS-on-connect utilisant GnuTLS ; injection de message dans un flux tiers (SMTP smuggling).
• Dans le package Ghostscript 10.08.0, une vulnérabilité (CVE-2026-39919) causée par un débordement de tampon dans le code de parsing du format JPEG 2000 a été corrigée lorsqu'il est question de valeurs de sous-échantillonnage incorrectes. Le problème peut conduire à une exécution de code lors du traitement de fichiers PDF spécialement conçus avec des images intégrées au format JPEG 2000 dans Ghostscript. Le danger de la vulnérabilité est exacerbé par le fait que Ghostscript est invoqué lors de la création de miniatures sur le bureau, de l'indexation des données en arrière-plan et de la conversion d'images. Pour une attaque réussie, dans de nombreux cas, il suffit de télécharger un fichier avec l'exploit ou de visualiser un répertoire contenant celui-ci dans Nautilus. Les vulnérabilités dans Ghostscript peuvent également être exploitées via des gestionnaires d'images basés sur les paquets ImageMagick et GraphicsMagick, en leur transmettant un fichier JPEG ou PNG où, à la place de l'image, se trouve du code PostScript (ce fichier sera traité dans Ghostscript, car le type MIME est reconnu par son contenu et non par son extension). Le problème a été corrigé dans Ghostscript 10.08.0.
• Dans le serveur DNS Unbound 1.26.1, 9 vulnérabilités ont été corrigées, y compris un problème CVE-2026-81642 qui entraîne un débordement de tampon lors du traitement de certains DNSKEY. Cette vulnérabilité peut être utilisée pour une exécution de code à distance sur le serveur. D'autres problèmes corrigés incluent : un débordement de tampon dans le code de traitement du DNSSEC, une corruption de données en mémoire dans le gestionnaire CNAME, et un accès à de la mémoire déjà libérée dans le code DoQ et DoH.
• Dans le système de détection et de prévention des intrusions Suricata 8.0.7, 67 vulnérabilités ont été corrigées, dont deux sont étiquetées comme critiques. Les détails sur les problèmes n'ont pas encore été divulgués, mais étant donné le niveau de danger, ces vulnérabilités permettent une exécution de code à distance lors du traitement de trafic spécialement conçu.

Source : opennet.ru