Une vulnérabilité critique CVE-2026-1723 (CVSS 9.0) a été découverte dans le sous-système Netfilter du noyau Linux, affectant les versions 6.1 à 6.12. Cette faille de type use-after-free dans le module nf_tables permet à un attaquant local non privilégié d obtenir une élévation de privilèges vers root. Un exploit public fiable est disponible, rendant cette vulnérabilité exploitable par tout attaquant ayant un accès shell à un système vulnérable. Les distributions majeures (Ubuntu, Debian, RHEL, SUSE) ont publié des correctifs. Cette faille est particulièrement critique pour les environnements conteneurisés où un escape depuis un container vers le host est possible.

Détails techniques

AttributValeur
CVECVE-2026-1723
CVSS 3.19.0 (Critique)
TypeUse-After-Free / Local Privilege Escalation
Composantnf_tables (Netfilter)
Noyaux affectésLinux 6.1.x - 6.12.x
ImpactLPE vers root + container escape
Exploit publicOui (GitHub)

Mécanisme de la vulnérabilité

La faille se situe dans la gestion des objets nft_set lorsqu une règle est supprimée en concurrence avec un lookup sur le même set. Le use-after-free résultant peut être exploité via la technique msg_msg spray pour obtenir une primitive de lecture/écriture arbitraire en mémoire kernel.

# Vérifier si votre noyau est vulnérable
uname -r
# Vérifier si nf_tables est chargé
lsmod | grep nf_tables
# Vérifier la version du kernel
cat /proc/version

Impact sur les environnements conteneurisés

Cette faille est particulièrement dangereuse dans les environnements Kubernetes et Docker car :

  • Netfilter est utilisé par kube-proxy (mode iptables) pour le routing des services
  • Un attaquant dans un container non privilégié peut exploiter la faille pour un container escape
  • Les namespaces réseau ne protègent pas contre cette vulnérabilité car nf_tables opère au niveau du noyau hôte

Clusters Kubernetes critiques

Si vos clusters utilisent kube-proxy en mode iptables (le mode par défaut), tous les nœuds workers sont potentiellement vulnérables. Priorisez le patching des nœuds ou migrez vers kube-proxy en mode IPVS ou eBPF (Cilium) qui ne dépendent pas de nf_tables.

Remédiation

  1. Mettre à jour le noyau via le gestionnaire de paquets de votre distribution
  2. Redémarrer les nœuds pour charger le nouveau noyau (un simple modprobe ne suffit pas)
  3. Mitigation temporaire : décharger le module nf_tables si non utilisé : modprobe -r nf_tables
  4. Kubernetes : drainer, patcher et redémarrer chaque nœud séquentiellement
  5. Vérifier les conteneurs : auditer les pods avec des capabilities NET_ADMIN ou SYS_ADMIN

Pour approfondir la sécurisation des noyaux Linux, consultez notre article sur l exploitation kernel Linux et les techniques d élévation de privilèges.

À retenir

Netfilter reste le sous-système Linux le plus ciblé par les chercheurs en vulnérabilités kernel. Les environnements conteneurisés doivent considérer la migration vers des alternatives à iptables (Cilium/eBPF) pour réduire la surface d attaque kernel.

Sources : Linux Kernel Archives | Debian Security Tracker

Voir aussi : Exploitation kernel Linux | Sécurité Kubernetes