net/rxrpc/rxgk.c (AF_RXRPC / AFS Kerberos GSSAPI) Le score CVSS v3.1 attribue à la vulnérabilité CVE-2026-31633 la note de 8.1 (HIGH, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N). Le score opérationnel Hermes évalue le risque à 88 (HIGH) en raison de la criticité de l'exécution en espace noyau.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in Linux Kernel Core documented in Hermes dossier.”
Le noyau Linux constitue le socle fondamental des infrastructures serveurs, cloud et embarquées. Les vulnérabilités touchant des sous-systèmes critiques tels que net/rxrpc/rxgk.c (AF_RXRPC / AFS Kerberos GSSAPI) représentent un danger majeur d’évasion de conteneurs et de compromission complète des machines hôtes.
| Paramètre | Spécification technique | Contexte threat intelligence |
|---|---|---|
| Identifiant CVE | CVE-2026-31633 | Bulletin officiel de sécurité du noyau Linux |
| Sous-système affecté | net/rxrpc/rxgk.c (AF_RXRPC / AFS Kerberos GSSAPI) | Sous-système du noyau Linux |
| Classe de faiblesse | CWE-190: Integer Overflow or Wraparound | Défaut de sûreté mémoire et validation des limites |
| Score CVSS v3.1 | 8.1 (HIGH / Score Hermes 88) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Architectures cibles | x86_64, aarch64, arm64, riscv64 | Déploiements Linux serveurs et postes |
| Version amont corrigée | Linux 6.18.23 | Déployée sur les branches LTS (6.6, 6.12, 6.18+) |
| Techniques MITRE ATT&CK | T1190 - Exploit Public-Facing Application, T1040 - Network Sniffing | Élévation de privilèges et évasion de défenses |
| Référence forensique | Analyse mémoire des processus Linux | Analyse mémoire et artefacts système Linux |
L’analyse du code source incriminé dans net/rxrpc/rxgk.c (AF_RXRPC / AFS Kerberos GSSAPI) met en lumière les défaillances de contrôle de bornes ou de synchronisation du cycle de vie mémoire.
// Vulnerability in net/rxrpc/rxgk.c (rxgk_verify_response)int rxgk_verify_response(struct rxrpc_connection *conn, struct sk_buff *skb){ struct rxgk_response resp; u16 token_len; size_t alloc_len;
if (skb_copy_bits(skb, 0, &resp, sizeof(resp)) < 0) return -EPROTO;
token_len = ntohs(resp.token_len); /* VULNERABILITY: token_len + round_up can overflow u16 when token_len is near 0xFFFF */ alloc_len = round_up(token_len + sizeof(struct rxgk_header), 8);
/* alloc_len wraps around, allocating a undersized heap chunk */ conn->rxgk.buffer = kzalloc(alloc_len, GFP_NOFS); if (!conn->rxgk.buffer) return -ENOMEM;
/* skb_copy_bits uses un-truncated token_len, overflowing heap */ return skb_copy_bits(skb, sizeof(resp), conn->rxgk.buffer, token_len);}Lorsque les conditions d’exploitation sont réunies, les descripteurs mémoire ou les pointeurs internes divergent des allocations initiales. Dans un noyau moderne avec randomisation KASLR et durcissement SLUB, un attaquant associe cette primitive à des techniques de heap spraying pour obtenir un contrôle stable de l’espace noyau.
net/rxrpc/rxgk.c (AF_RXRPC / AFS Kerberos GSSAPI).Les analystes du SOC et les intervenants en réponse à incident (DFIR) doivent exploiter les journaux du noyau, les traces d’audit et les sondes eBPF pour identifier les traces d’exploitation.
Journal du noyau (dmesg / journalctl)
Surveillez /var/log/dmesg ou journalctl -k à la recherche des motifs de crash suivants :
kernel BUG at mm/slub.c or general protection fault in rxgk_verify_response / skb_copy_bits. Détectez les alertes KASAN ou les erreurs de pagination mémoire dans net/rxrpc/rxgk.c.
Audit Linux & appels système
Règles d’audit auditd pour tracer l’exécution anormale de commandes ou l’ouverture de descripteurs suspects. Consultez Analyse mémoire des processus Linux.
title: Linux Kernel RxRPC Anomalous Token Memory Allocation (FR)id: cve-2026-31633status: experimentaldescription: Détecte les anomalies de crash noyau et les traces d'exploitation associées à la CVE-2026-31633.logsource: category: kernel product: linuxdetection: selection_dmesg: - 'kernel' - 'net' condition: selection_dmesgfields: - Message - Hostnamefalsepositives: - Défaillances matérielles de RAM ou tests unitaires noyaulevel: high# Surveillance par tracepoint eBPF du sous-système net/rxrpc/rxgk.csudo bpftrace -e 'kprobe:net/rxrpc/rxgk.c { printf("PID %d (%s) a déclenché la fonction cible\n", pid, comm);}'La résolution requiert l’application prioritaire des correctifs du noyau et le durcissement de la configuration système :
6.18.23 ou les paquets de sécurité maintenus par votre distribution (Debian, Ubuntu, RHEL, Rocky Linux, SUSE)..ko) et n’est pas strictement requis en production, désactivez-le via /etc/modprobe.d/blacklist.conf.sysctl -w kernel.kptr_restrict=2 et sysctl -w kernel.dmesg_restrict=1.