☕️ Une faille dans le noyau Linux permet à une machine virtuelle de lire la mémoire de l’hôte

PwnEscape est le nom donné à une faille de sécurité récente, référencée sous le code CVE-2026-99999, qui affecte la majorité des noyaux Linux actuellement maintenus. Cette vulnérabilité permet à une machine virtuelle invitée d'accéder à la mémoire du noyau de la machine hôte. Elle a été découverte par le chercheur Paulos Yibelo lors d'un concours organisé par l'entreprise Vercel. Bien que la faille ne soit pas présente dans le noyau Linux 7.3, elle touche les versions antérieures, notamment la 7.2, nécessitant une mise à jour immédiate. Le terme machine virtuelle désigne un environnement informatique simulé, indépendant du matériel physique, utilisé pour exécuter des systèmes d'exploitation ou des applications. Le noyau est le cœur du système d'exploitation, gérant les ressources matérielles et logicielles.

La faille exploite une erreur dans la gestion des souches de contrôle (checksum) des paquets IPv4, un protocole utilisé pour transmettre des données sur Internet. Normalement, ces sommes de contrôle permettent de vérifier l'intégrité des données envoyées. Cependant, une mauvaise manipulation peut amener le noyau à écrire des données corrompues sur un en-tête IPv4 déjà lu. Chaque paquet émis par la machine virtuelle peut ainsi récupérer environ 32 octets de mémoire de l'hôte. En laboratoire, cette faille a même permis d'obtenir des droits administrateur ou de provoquer un plantage de la machine hôte. Le terme IPv4 désigne la quatrième version du protocole Internet, utilisé pour identifier les appareils sur un réseau et acheminer les données.

La faille trouve son origine dans deux modifications apportées au noyau Linux : la prise en charge de l'en-tête virtio-net pour les périphériques tun/tap en 2008, et le délestage de somme de contrôle pour les sockets de paquets en 2010. Ces changements ont introduit une vulnérabilité qui est restée présente pendant 18 ans sans être détectée. Le terme tun/tap désigne des outils permettant de créer des interfaces réseau virtuelles, souvent utilisées pour les machines virtuelles. Le délestage de somme de contrôle est une technique d'optimisation visant à réduire la charge de calcul en externalisant le calcul des sommes de contrôle.

Paulos Yibelo a signalé la faille aux mainteneurs du noyau Linux le 4 septembre 2026. Le correctif a été accepté dans l'arbre réseau le 8 octobre et intégré au noyau principal le 14 octobre. Les versions corrigées des noyaux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 et 7.2.11 ont été publiées dès le lendemain. Il est important de noter que le numéro de version affiché par des outils comme uname ne reflète pas toujours l'état de sécurité réel, car les distributions Linux rétroportent souvent des correctifs sans modifier ce numéro. Le terme rétroportage désigne l'application de correctifs de sécurité à des versions anciennes d'un logiciel pour maintenir leur sécurité sans mettre à jour la version principale.

Bien que la faille n'ait pas été exploitée en conditions réelles, ses détails techniques ont été rendus publics entre le 19 et le 22 septembre 2026 sur la liste netdev, une liste de diffusion dédiée au développement des protocoles réseau du noyau Linux. Cette publication a eu lieu plusieurs semaines avant la publication officielle du correctif CVE-2026-99999. Vercel, l'entreprise organisatrice du concours, précise que seule la lecture de la mémoire de l'hôte a été démontrée en infrastructure de production, et non l'obtention de droits administrateur ou le plantage de la machine. Le terme infrastructure de production désigne un environnement informatique utilisé pour héberger des applications ou services en conditions réelles, par opposition à un environnement de test.