CVE-2026-1723 : RCE dans Linux kernel via Netfilter

Détails techniques

Mécanisme de la vulnérabilité

La faille se situe dans la gestion des objets nft_set lorsqu une règle est supprimée en concurrence avec un lookup sur le même set. Le use-after-free résultant peut être exploité via la technique msg_msg spray pour obtenir une primitive de lecture/écriture arbitraire en mémoire kernel.

# Vérifier si votre noyau est vulnérable
uname -r
# Vérifier si nf_tables est chargé
lsmod | grep nf_tables
# Vérifier la version du kernel
cat /proc/version

Impact sur les environnements conteneurisés

Cette faille est particulièrement dangereuse dans les environnements Kubernetes et Docker car :

• Netfilter est utilisé par kube-proxy (mode iptables) pour le routing des services
• Un attaquant dans un container non privilégié peut exploiter la faille pour un container escape
• Les namespaces réseau ne protègent pas contre cette vulnérabilité car nf_tables opère au niveau du noyau hôte

Remédiation

1. Mettre à jour le noyau via le gestionnaire de paquets de votre distribution
2. Redémarrer les nœuds pour charger le nouveau noyau (un simple modprobe ne suffit pas)
3. Mitigation temporaire : décharger le module nf_tables si non utilisé : modprobe -r nf_tables
4. Kubernetes : drainer, patcher et redémarrer chaque nœud séquentiellement
5. Vérifier les conteneurs : auditer les pods avec des capabilities NET_ADMIN ou SYS_ADMIN

Pour approfondir la sécurisation des noyaux Linux, consultez notre article sur l exploitation kernel Linux et les techniques d élévation de privilèges.

Le vecteur d'exploitation exploite une race condition classique TOCTOU (Time-Of-Check-Time-Of-Use) entre la validation d'une transaction Netfilter et la libération effective de l'objet nft_set associé. Concrètement, un attaquant local ouvre deux threads : le premier déclenche une opération NFT_MSG_DELSET pendant que le second effectue simultanément un lookup via NFT_MSG_GETSETELEM sur le même identifiant. La fenêtre de course, bien que très étroite, devient exploitable de façon fiable grâce au heap grooming : l'attaquant sature préalablement le tas noyau avec des objets msg_msg de taille contrôlée pour forcer la réallocation de la zone mémoire libérée, transformant le use-after-free en primitive de lecture/écriture arbitraire (AAR/AAW). Cette chaîne technique rappelle des CVE Netfilter antérieures comme CVE-2023-32233 et CVE-2024-1086, exploitées massivement dans la nature avant patch.

Conditions préalables à l'exploitation

• Accès shell local (compte utilisateur standard suffisant, pas de sudo requis)
• CAP_NET_ADMIN ou capacité équivalente dans le namespace utilisateur (souvent accordée par défaut aux containers non privilégiés via user namespaces activés)
• Module nf_tables chargé — vérifiable via lsmod | grep nf_tables
• unprivileged_userns_clone activé (paramètre par défaut sur de nombreuses distributions desktop et certaines images container)

Le délai moyen d'exploitation observé sur les PoC publics circulant depuis la divulgation est de quelques secondes à moins d'une minute selon la charge du système, ce qui rend l'attaque parfaitement viable dans un scénario opérationnel réel, y compris via des scripts automatisés déployés en masse après compromission initiale.

Détection et outils de scan

Plusieurs approches permettent d'identifier une exposition ou une tentative d'exploitation :

• Scan de version : grep -E "^VERSION" /proc/version_signature ou uname -r comparé à la matrice CVE du fournisseur
• Audit runtime : outils comme Falco (règles CNCF) permettent de détecter les appels suspects à setsockopt() ciblant NETLINK_NETFILTER depuis des processus non-privilégiés
• eBPF monitoring : traçage des appels nft_* via bpftrace pour repérer des patterns de suppression/lecture concurrentes anormales
• Scanners de vulnérabilités : Trivy, Grype et les agents CSPM intègrent désormais des signatures CVE-2026-1723 dans leurs bases kernel

Mesures de mitigation en attendant le correctif

Pour les environnements ne pouvant pas patcher immédiatement (fenêtres de maintenance contraintes, systèmes legacy), plusieurs mitigations temporaires réduisent la surface d'attaque :

• Restreindre la création de user namespaces non privilégiés via sysctl kernel.unprivileged_userns_clone=0
• Blacklister le module nf_tables sur les hôtes ne l'utilisant pas (echo "blacklist nf_tables" >> /etc/modprobe.d/blacklist.conf)
• Activer SELinux en mode enforcing ou AppArmor avec des profils restrictifs limitant l'accès à NETLINK_NETFILTER
• Sur Kubernetes, désactiver l'usage de hostNetwork: true et auditer les PodSecurityStandards pour bloquer les containers avec CAP_NET_ADMIN

Les correctifs officiels sont disponibles depuis le 28 juillet 2026 dans les branches stables 6.1.98, 6.6.42 et 6.12.15, ainsi que dans les kernels backportés Ubuntu, Debian, RHEL et SUSE. L'application du patch reste la seule remédiation définitive ; les mitigations ci-dessus ne font que réduire temporairement la fenêtre d'exposition.