Noyau Linux : faille TCP à distance, CVE-2026-98432

Ce qui se passe

CVE-2026-98432 est une faille de type use-after-free dans le code TCP IPv4 du noyau Linux. Un attaquant distant et non authentifié l'atteint en envoyant des demandes de connexion à n'importe quel port TCP en écoute, et elle peut conduire à l'exécution de code. L'équipe CVE du noyau la note 9.8 sur 10. Red Hat l'avait d'abord jugée modérée (5.9) avant de la relever à 9.8 et de la qualifier de critique. Le défaut date de Linux 4.4 ; le correctif amont a été intégré en octobre.

Le mécanisme

À l'acceptation d'une connexion IPv4, le noyau transmet au nouveau socket les options IP de la demande reçue, sans les copier. Si le client renvoie sa demande pendant qu'un autre processeur lit encore ces options, le noyau lit une mémoire déjà libérée. Le déclencheur est une demande qui porte l'option IPv4 Record Route ou Timestamp. Le chemin principal d'IPv6 n'est pas concerné.

Où en sont les correctifs

Red Hat a publié ses avis le 1er novembre. Un redémarrage est nécessaire après installation.

Ubuntu : Canonical a annoncé le 2 novembre que les correctifs de ses trois dernières LTS sont dans le canal -proposed, un canal d'essai qui ne s'installe jamais tout seul. Aucune date n'est donnée pour le canal régulier.

Les versions 20.04, 18.04 et 16.04 n'ont pas encore de correctif ; les plus anciennes passent par Ubuntu Pro (ESM). Les variantes cloud, FIPS et temps réel ne sont pas couvertes par le billet de Canonical. Debian, Oracle Linux et SUSE ont livré leurs correctifs en octobre ; Amazon Linux, qui a noté la faille 8.1 (Important), a corrigé tous ses paquets entre le 24 et le 30 octobre.

Comment s'y prendre

1. Comparer uname -r aux versions des tableaux ci-dessus.
2. Sur RHEL, installer le noyau de l'avis correspondant puis redémarrer.
3. Sur Ubuntu, activer -proposed en connaissance de cause (canal de test) :

sudo add-apt-repository --component main --pocket proposed https://archive.ubuntu.com/ubuntu
dpkg-query -W -f '${source:Package}\t${binary:Package}\n' | awk '$1 ~ "^linux-meta" { print $2 }' | xargs sudo apt install -t $(. /etc/os-release && echo $VERSION_CODENAME)-proposed --only-upgrade
sudo reboot

4. En attendant, Red Hat propose depuis le 30 octobre une règle nftables qui jette les paquets TCP entrants portant des options IP :

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

Cette règle n'est pas une parade complète : elle bloque le déclencheur connu sans empêcher toute exploitation, elle peut casser des services qui utilisent des options IPv4, elle ne vaut que pour l'hôte qui la charge, et le trafic entre conteneurs du même hôte la contourne (remarque d'un membre de l'équipe noyau de CIQ sur oss-security). Désactiver MPTCP seul ne suffit pas non plus : la faille est dans le chemin TCP IPv4, pas dans MPTCP. Pour Canonical, seules les mises à jour sont une vraie parade.

Ce que l'on sait de l'exploitation

Aucun éditeur, aucun CERT ni l'équipe CVE du noyau ne signale d'attaque, et la faille n'était pas au catalogue des failles exploitées de la CISA à sa mise à jour du 30 octobre. Mais Anthropic a indiqué le 27 octobre qu'un modèle de recherche interne, non publié, avait écrit un exploit root à distance contre des serveurs Linux avec une écoute MPTCP : 48 minutes pour obtenir une adresse noyau, 5 de plus pour un shell root. Le code n'est pas publié. Un code qui se contente de déclencher la course et de détecter l'écho de mémoire libérée dans un SYN-ACK circule sur GitHub, sans exécution de code.

Source : The Hacker News, qui cite l'avis Red Hat RHSB-2026-016 et le billet de Canonical. Source en anglais.