Exploit Released for Unpatched Ubuntu Linux Flaw Enabling Host-Root Container Escape
Mis à jour :
Vulnérabilité critique de sortie de conteneur sur Ubuntu via le noyau Linux
Une faille de type use-after-free dans le sous-système de sockets AF_UNIX du noyau Linux permet à un attaquant de s’échapper d’un conteneur pour obtenir des privilèges root sur l’hôte. Bien que le correctif soit disponible en amont (upstream), les distributions Ubuntu (26.04, 24.04, 22.04) ne l’ont pas encore intégré, laissant les systèmes vulnérables.
Points clés :
- Mécanisme : La vulnérabilité exploite une condition de concurrence (race condition) dans le ramasse-miettes (garbage collector) des sockets
AF_UNIX, permettant d’accéder à de la mémoire libérée. - Impact : L’exploit contourne l’isolation des namespaces, les limites des cgroups et le filtrage seccomp, car il utilise des appels système autorisés par défaut dans Docker et Kubernetes.
- Contexte : Identifiée par l’outil d’IA de DepthFirst, cette faille souligne une augmentation préoccupante des vulnérabilités du noyau Linux (plus de 5 700 CVE en 2026), remettant en question la fiabilité des conteneurs comme frontière de sécurité.
Vulnérabilité :
- CVE-2026-80521 (Score CVSS : 7.8)
Recommandations :
- Application de correctifs : Pour les environnements critiques, appliquer manuellement le correctif publié dans le noyau mainline (version 7.2) ou les branches stables (7.1.10).
- Isolation renforcée : En attendant les correctifs des distributions, privilégier l’utilisation de solutions de virtualisation légère (MicroVM) comme Firecracker ou Kata Containers. Ces technologies offrent une isolation supérieure en isolant chaque charge de travail avec son propre noyau, évitant ainsi le partage du noyau de l’hôte.