Une faille vieille de 15 ans dans le noyau Linux peut donner les privilèges root et permettre de s’échapper des conteneurs

Des chercheurs en sécurité de Nebula Security ont révélé une vulnérabilité ancienne du noyau Linux, référencée CVE-2026-43499 et surnommée GhostLock, qui peut permettre à un utilisateur local d’obtenir les privilèges root complets sur les systèmes qui n’ont pas été mis à jour. Le problème existerait dans le noyau depuis 2011 et serait présent dans les configurations par défaut de la plupart des principales distributions Linux.

Selon les chercheurs, cette faille ne nécessite ni privilèges particuliers, ni modification inhabituelle de la configuration, ni accès réseau. Un utilisateur connecté peut la déclencher au moyen d’une activité classique de gestion des threads depuis un programme local. Nebula affirme avoir développé un exploit fiable, qui a fonctionné lors des tests avec un taux de réussite élevé et qui pouvait également permettre de s’échapper des conteneurs, ce qui rend cette faille particulièrement préoccupante pour les serveurs mutualisés et les environnements cloud.

Fonctionnement de la faille

Le problème se situe dans la logique du noyau conçue pour gérer la priorité des tâches et le nettoyage lors des opérations de verrouillage. Dans un chemin d’échec rare, le nettoyage intervient au mauvais moment et supprime les données de la mauvaise tâche. Le noyau continue alors de référencer une zone mémoire qui a déjà été libérée et potentiellement réutilisée, ce qui constitue un classique use-after-free. Les chercheurs ont ensuite enchaîné plusieurs étapes supplémentaires pour transformer la corruption mémoire en exécution de code avec un accès de niveau root.

Nebula indique que le problème a été identifié grâce à son système automatisé de recherche de vulnérabilités VEGA et que Google a accordé à l’équipe une prime de recherche de bugs dans le cadre de son programme kernelCTF. La vulnérabilité a été corrigée en amont en avril, mais le correctif est arrivé dans les distributions à des moments différents. En outre, certaines premières versions auraient introduit un problème distinct de plantage, qui a nécessité des opérations de nettoyage supplémentaires.

Mesures à prendre pour les administrateurs

• Installez le dernier paquet du noyau fourni par votre distribution.
• Vérifiez la version exacte corrigée au lieu de supposer que la première version contenant un correctif est suffisante.
• Donnez la priorité aux systèmes accessibles à plusieurs utilisateurs, aux conteneurs, aux exécuteurs CI et aux charges de travail cloud.
• Consultez attentivement les avis des fournisseurs, car l’état du déploiement varie selon la distribution et la version.

Bien que certaines options de renforcement du noyau puissent compliquer l’exploitation, elles ne remplacent pas l’application des correctifs. Comme aucune mesure de contournement pratique ne permet de supprimer totalement le risque, la mise à jour du noyau reste la principale défense.

Nebula a également souligné que GhostLock s’inscrit dans une tendance plus large de découvertes récentes de vulnérabilités permettant une élévation de privilèges sous Linux, dont plusieurs ont également été trouvées à l’aide d’outils automatisés. L’entreprise a indiqué qu’une analyse plus détaillée d’un exploit Android devrait être publiée ultérieurement, après avoir démontré que la faille pouvait être enchaînée avec une vulnérabilité de navigateur pour aboutir à une compromission complète.