if ( !emtpy($headline_subheadline ) ) : ?>
Le modèle Claude inédit d’Anthropic a développé un exploit sans clic pour une faille du noyau Linux qui permettait à des attaquants distants d’exécuter des commandes avec les privilèges root.
endif; ?>
Les serveurs Linux exécutant Multipath TCP (MPTCP) pourraient être vulnérables à l’exécution de code à distance via une faille dans la pile réseau du noyau.
Anthropic a divulgué un exploit sans clic développé avec un modèle de recherche Claude inédit qui permet à un attaquant non authentifié d’exécuter des commandes arbitraires en tant que root, sans nécessiter aucune interaction de l’utilisateur.
Suivie sous le nom CVE-2026-98432, la vulnérabilité est un bogue d’utilisation après libération (UAF) induit par une condition de concurrence dans le noyau Linux. Anthropic a démontré comment un attaquant pouvait exploiter la faille à distance pour fuir la mémoire du noyau, vaincre la randomisation de la disposition de l’espace d’adressage du noyau (KASLR), détourner le flux de contrôle du noyau et finalement exécuter une commande shell contrôlée par l’attaquant.
La recherche fait partie d’un effort plus large d’Anthropic visant à évaluer la capacité des modèles d’IA à découvrir et à exploiter les vulnérabilités des logiciels largement déployés. La société a divulgué cinq chaînes d’exploits impliquant Chrome, Safari, Android, Windows et Linux pour démontrer comment son modèle interne pouvait combiner plusieurs faiblesses en attaques fonctionnelles.
La preuve de concept d’Anthropic pour l’exploit Linux a pris environ 53 minutes pour passer de la fuite de mémoire initiale à l’exécution réussie de la commande au niveau racine, a indiqué la société dans un article de blog.
Une course à la connexion TCP laisse la mémoire du noyau exposée
Selon un avis CVE du noyau Linux, la faille sous-jacente concerne la manière dont Linux gère les options IP lors de l’établissement d’une connexion TCP IPv4. Lorsqu’une nouvelle connexion est créée, le noyau peut transférer la propriété des options IP d’une demande de connexion en attente vers le socket nouvellement créé sans en faire une copie séparée.
Le problème survient lorsqu’un autre processeur traite simultanément une demande de connexion retransmise et utilise ces mêmes options pour construire une réponse d’accusé de réception de synchronisation (SYNACK). Si le socket enfant est libéré avant que le deuxième processeur ait fini d’accéder aux options, le noyau peut finir par lire la mémoire déjà libérée.
Cela crée une condition d’utilisation après libération. Le correctif en amont résout le problème de gestion de la mémoire en différant la publication des objets concernés jusqu’à la fin d’une période de grâce en lecture-copie-mise à jour (RCU), donnant aux lecteurs simultanés le temps de finir d’y accéder.
La faille a reçu un score de gravité critique de 9,8 et affecte huit branches du noyau Linux, remontant à la version 4.4. Les versions corrigées incluent 5.10.272, 5.15.223, 6.6.159, 6.1.190, 6.12.113, 6.18.56, 7.2.10 et 7.3-rc7.
Pour les utilisateurs qui obtiennent Linux via des distributions telles que Debian, Oracle Linux, SUSE et Amazon Linux, des packages de noyau corrigés sont disponibles pour au moins certaines versions. Cependant, Ubuntu et Red Hat Enterprise Linux n’avaient pas encore publié de noyaux corrigés au 30 octobre.
Les auditeurs MCTCP créent la surface d’attaque à distance
L’exploit d’Anthropic cible spécifiquement les serveurs Linux exécutant un écouteur MPTCP. MPTCP étend le TCP conventionnel en permettant à un appareil d’utiliser plusieurs interfaces réseau simultanément au sein d’une seule connexion. Cela permet l’agrégation de bande passante, une sélection de réseau améliorée et un basculement lorsqu’un chemin réseau devient indisponible.
Linux implémente MPTCP via sa pile réseau, mais le protocole est opt-in : les applications doivent le demander explicitement lors de la création de sockets, bien que des mécanismes tels que eBPF et d’autres techniques de configuration puissent également forcer les applications à l’utiliser.
Il est conseillé aux administrateurs de revoir les versions de leur noyau, d’appliquer les mises à jour de sécurité appropriées et d’évaluer si leurs systèmes exposent les écouteurs MPTCP.
