RED Hat a publié des mises à jour du noyau pour corriger une vulnérabilité critique de type use-after-free dans le code TCP IPv4 de Linux. Répertoriée sous le numéro CVE-2026-98432, cette faille peut être déclenchée à distance sans authentification et pourrait permettre l’exécution de code. L’équipe CVE du noyau Linux lui attribue une note de 9,8 sur 10 sur l’échelle CVSS ; Red Hat a relevé son évaluation de Modérée à Critique, en lui attribuant également la note de 9,8.

Le bogue survient lorsqu’un serveur accepte une connexion TCP IPv4 et que le noyau traite les options IP fournies avec la requête. Si un client retransmet la requête alors qu’un autre processeur lit encore ces options, le noyau peut accéder à une zone mémoire déjà libérée. Le déclenchement implique l’envoi de requêtes de connexion comportant des options IPv4 Record Route ou Timestamp vers un port TCP en écoute. IPv6 n’est pas concerné sur le chemin principal.

Red Hat a publié des mises à jour pour RHEL 8, 9 et 10 le 1er novembre. Les noyaux corrigés sont les versions 4.18.0-553.182.1.el8_10 pour RHEL 8.10, 5.14.0-687.64.1.el9_8 pour RHEL 9.8 et 6.12.0-211.72.1.EL10_2 pour RHEL 10.2. Les systèmes doivent être redémarrés après l’installation.

Canonical a indiqué le 2 novembre que les correctifs pour Ubuntu 22.04 LTS, 24.04 LTS et 26.04 LTS sont disponibles dans la poche -proposed, un canal de test auquel il faut choisir de s’inscrire et dont les paquets ne s’installent pas automatiquement. Les versions proposées du noyau sont respectivement 5.15.0-203.213, 6.8.0-149.149 et 7.0.0-43.43. Canonical n’a pas annoncé quand elles seront disponibles dans le canal de mise à jour régulier. Ubuntu 20.04, 18.04 et 16.04 ne disposent pas encore de correctifs.

Red Hat a également publié une règle nftables destinée à supprimer les paquets TCP IPv4 entrants contenant des options IP. Selon l’entreprise, cette règle bloque le déclencheur connu, mais n’empêche pas complètement l’exploitation de la faille et peut perturber les charges de travail qui dépendent des options IPv4. Elle ne s’applique qu’à l’hôte sur lequel elle est chargée ; le trafic entre des conteneurs sur le même hôte peut la contourner.

Aucun fournisseur, CERT ni l’équipe CVE du noyau n’a signalé d’attaques exploitant cette faille, et celle-ci ne figurait pas dans le catalogue des vulnérabilités exploitées connues de la CISA dans sa publication du 30 octobre. Anthropic a déclaré qu’un modèle de recherche interne non publié avait produit un exploit permettant d’obtenir un accès root à distance sur des serveurs Linux dotés d’un écouteur MPTCP, mais le code de l’exploit n’a pas été publié. Du code de preuve de concept qui déclenche la course critique est apparu sur GitHub, mais il ne permet pas l’exécution de code.

Debian, Oracle Linux et SUSE ont publié des correctifs en octobre. Amazon Linux a évalué le problème à 8,1 et l’a classé comme Important, en invoquant un plantage accompagné d’une possible corruption de mémoire, et a indiqué avoir mis à jour les paquets concernés entre le 24 et le 30 octobre.

Sources: The Hacker News.