CVE-2026-0915 : fuite du contenu de la pile vers le résolveur DNS dans glibc getnetbyaddr

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE SYSTÈME

Cible : glibc (inet/getnetbyaddr.c)

Confiance : 94%

72 / 100

MEDIUM

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2026-0915 à 5.3 (MEDIUM, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N). Le score opérationnel Hermes s'établit à 72 (MEDIUM) en raison de l'exposition critique de ce composant d'infrastructure.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-0915: glibc getnetbyaddr Stack Memory Leak to DNS ResolverVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTGNU C Library (glibc)

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in GNU C Library (glibc) documented in Hermes dossier.”

Preuves vérifiées associées :

[vulnerability_report]
[government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

1. Contexte technique & matrice des versions affectées

Le composant logiciel glibc (inet/getnetbyaddr.c) assure des fonctions fondamentales d’exécution et de sécurité dans les infrastructures Linux et Unix d’entreprise.

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	`CVE-2026-0915`	Bulletin officiel de sécurité amont
Produit affecté	`gnu:glibc`	Composant d’infrastructure système
Composant vulnérable	`glibc (inet/getnetbyaddr.c)`	Bibliothèque / Démon / Émulateur
Classe de faiblesse	`CWE-908: Use of Uninitialized Resource / CWE-200: Exposure of Sensitive Information`	Contrôle de sécurité / Sûreté mémoire
Score CVSS v3.1	5.3 (MEDIUM / Score Hermes 72)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N`
Version corrigée	`2.43`	Correctif officiel amont
Techniques MITRE ATT&CK	T1040 - Network Sniffing, T1592 - Gather Victim Host Information	Élévation de privilèges / Évasion de défenses
Référence forensique	Analyse mémoire des processus et fuites résiduelles	Analyse des artefacts et traces d’exécution

2. Décomposition technique approfondie & cause racine

L’examen du code source incriminé met en évidence les défaillances de contrôle de politique ou de gestion de la mémoire sous des entrées atypiques.

// Flaw in inet/getnetbyaddr_r.c
int getnetbyaddr_r(uint32_t net, int type, struct netent *result,
                   char *buffer, size_t buflen, struct netent **resultp, int *h_errnop)
{
    char qbuf[MAXDNAME]; // Allocated on stack, not zero-initialized!

    if (net == 0) {
        /* VULNERABILITY: Formats reverse query using uninitialized qbuf data */
        format_reverse_query(qbuf, net); // Leaves uninitialized stack remnants
        return __nss_dns_lookup(qbuf, result, buffer, buflen);
    }
    ...
}

Lorsque les conditions d’exploitation sont réunies, le chemin critique contourne les mécanismes de contrôle d’accès ou corrompt l’espace mémoire, offrant une primitive fiable pour un attaquant.

3. Scénarios d’attaque & modélisation des menaces

Vecteur initial & prérequis : un attaquant ou une requête réseau distante force un démon à invoquer la résolution de réseau avec une adresse nulle (net=0).
Déclenchement de la primitive : l’attaquant forge des arguments spécifiques ou injecte des paquets réseau vers glibc (inet/getnetbyaddr.c).
Rupture d’isolement / corruption mémoire : le contrôle de sécurité prévu est contourné.
Conséquences opérationnelles : la glibc génère alors une requête DNS contenant des octets résiduels de la pile d’appels précédente (clés cryptographiques, pointeurs ASLR) et les transmet en clair vers les serveurs DNS..

4. Détection forensique, artefacts & logs système

Les équipes de sécurité et d’investigation numérique peuvent détecter les tentatives d’exploitation en surveillant les journaux d’audit et les rapports de crash.

Journaux système & télémétrie

Surveillez les journaux à la recherche des motifs de détection : journalctl: named/dnsmasq logged malformed PTR query from local libc process. Recherchez les arrêts anormaux de processus ou les crashs inexpliqués.

Auditd & traçage de processus

Déployez des règles d’audit pour tracer les exécutions et appels système suspects. Consultez Analyse mémoire des processus et fuites résiduelles.

title: Anomalous DNS PTR Query with Residual Binary Content (FR)
id: cve-2026-0915
status: experimental
description: Détecte les artefacts d'exploitation et signatures d'arrêt anormal pour CVE-2026-0915.
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        - 'journalctl:'
        - 'glibc'
    condition: selection
fields:
    - CommandLine
    - User
level: high

# Surveillance par tracepoint eBPF de gnu:glibc
sudo bpftrace -e '
kprobe:getnetbyaddr_r {
    printf("PID %d (%s) a exécuté la fonction cible\n", pid, comm);
}'

5. Remédiation, durcissement & mesures d’atténuation

La protection des environnements face à la vulnérabilité CVE-2026-0915 repose sur le déploiement des correctifs et l’application du principe de moindre privilège :

Mise à niveau logicielle : mettez à jour gnu:glibc vers la version 2.43 ou ultérieure via les dépôts officiels de votre système d’exploitation.
Durcissement des accès : révisez les règles de délégation, les permissions sur les sockets IPC et les descripteurs partagés.
Surveillance forensique : pour approfondir les méthodes d’investigation et l’analyse d’incidents, consultez notre guide dédié sur Analyse mémoire des processus et fuites résiduelles.