CISA alerts of active exploitation of three Linux kernel flaws
Mis à jour :
Exploitation active de trois vulnérabilités critiques du noyau Linux
La CISA a émis une alerte concernant l’exploitation active de trois failles de sécurité affectant le noyau Linux, dont l’une est jugée critique. Bien qu’aucune implication de groupes de rançongiciels n’ait été détectée, ces vulnérabilités permettent des actions telles que l’élévation de privilèges, l’échappement de conteneurs ou la corruption de mémoire. Les agences fédérales américaines ont reçu l’ordre d’appliquer les correctifs en priorité et d’effectuer une analyse médico-légale des actifs concernés.
Vulnérabilités identifiées :
- CVE-2025-39964 : Condition de concurrence (race condition) dans l’interface de socket cryptographique AF_ALG. Permet la corruption de l’état des sockets, le plantage du système ou l’altération des résultats cryptographiques. Une démonstration a prouvé son potentiel pour l’élévation de privilèges et l’échappement de conteneurs.
- CVE-2026-53266 : Écriture hors limites dans l’implémentation ebtables SNAT. Permet la modification de mémoire partagée sauvegardée par fichier via une réécriture d’adresse ARP, facilitant potentiellement une élévation de privilèges.
- CVE-2025-39682 : Défaut logique dans le chemin de réception TLS du noyau (kTLS) lors du traitement d’enregistrements de longueur nulle, pouvant mener à une confusion dans le traitement des types d’enregistrements.
Points clés et recommandations :
- Exploitation : Des exploits publics sont déjà disponibles pour les failles CVE-2025-39682 et CVE-2026-53266.
- Action immédiate : Appliquer sans délai les mises à jour de sécurité et les correctifs fournis par les distributions Linux.
- Investigation : Procéder à un audit de sécurité (triage forensique) sur les systèmes exposés afin de détecter toute trace d’intrusion ou d’exploitation antérieure.