CVE-2026-43114 : Contournement de Filtrage Netfilter nft_set_pipapo AVX2 par Non-Vérification d'Expiration

HERMES

SCORE DE MENACE HERMES & RISQUE D'INFRASTRUCTURE D'ENTREPRISE

Cible : Linux Kernel Netfilter Packet Filtering Subsystem (net/netfilter)

Confiance : 94%

87 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 18 / 20

Militarisation 18 / 20

Exposition 19 / 20

Prévalence 20 / 20

Impact 19 / 20

Maturité de l'exploit 18 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Évalué CVSS 8.1 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N) et HTS 87. Le noyau Linux constitue le socle des serveurs bare-metal, grappes de conteneurs et hyperviseurs d'entreprise. Les vulnérabilités affectant net/netfilter/nft_set_pipapo_avx2 permettent aux attaquants de franchir la frontière de sécurité directement au niveau superviseur (ring-0).

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-43114: Linux Kernel Netfilter nft_set_pipapo AVX2 Lookup Expiry BypassVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTLinux Kernel Core

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Linux Kernel Core documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Avis de Sécurité Officiel : CERTFR-2026-AVI-1204 / RHSA-2026:67469

Score CVSS v3.1 : 8.1 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N) / CWE-480 : Use of Incorrect Operator / Logic Classification Flaw.
Affecte les branches amont du noyau Linux et Red Hat Enterprise Linux (RHEL 8, 9, 10). Corrigé dans la version noyau 6.18.25 et le bulletin d’errata kernel-6.12.0-211.55.1.el10_2.

Résumé Exécutif

Publié dans le bulletin Red Hat RHSA-2026:67469 et l’avis du CERT-FR CERTFR-2026-AVI-1204, CVE-2026-43114 affecte le sous-système net/netfilter/nft_set_pipapo_avx2 du noyau Linux. L’implémentation de recherche vectorielle AVX2 pour les ensembles de concaténation nftables (pipapo) renvoie des entrées expirées ou échoue à faire correspondre des règles actives, provoquant un contournement des politiques de pare-feu et de NAT.

---

1. Contexte Technique & Matrice des Systèmes Affectés

Paramètre	Spécification Technique	Impact Opérationnel
Identifiant CVE	CVE-2026-43114	CERTFR-2026-AVI-1204 & RHSA-2026:67469
Classe de Vulnérabilité	CWE-480: Use of Incorrect Operator / Logic Classification Flaw	Corruption mémoire superviseur / élévation de privilèges
Sous-système / Pilote	net/netfilter/nft_set_pipapo_avx2	Composant central du noyau Linux
Vecteur d’Attaque	AV:N	Exploitation via appel système ou transport réseau
Privilèges Requis	UI:N	Profil d’accès nécessaire
Architectures Cibles	x86_64, aarch64, ppc64le, s390x	Plates-formes serveurs d’entreprise
Version Corrective Amont	6.18.25	Dépôt Git officiel Torvalds
Version Corrective Entreprise	kernel-6.12.0-211.55.1.el10_2	Paquet noyau mis à jour Red Hat

---

2. Anatomie de la Faille & Analyse de Cause Racine

Dissection du Code Source Kernel

nft_set_pipapo_avx2 optimise la recherche multi-champs à l’aide de registres vectoriels SIMD 256 bits. Lors du traitement de paquets à haut débit, lorsque les éléments d’un ensemble nftables comportent une durée de validité (expiration), le chemin AVX2 omettait d’appeler nft_set_elem_expired() avant de valider l’index de correspondance. Par conséquent, des ensembles IP/ports révoqués restent actifs ou des règles de rejet sont ignorées.

Motif de Code Vulnérable

net/netfilter/nft_set_pipapo_avx2.c

bool nft_pipapo_avx2_lookup(const struct net *net, const struct nft_set *set,
                            const u32 *key, const struct nft_set_ext **ext)
{
    // Vector search matching fields...
    ret = nft_pipapo_avx2_lookup_fast(m, key);
    if (ret >= 0) {
        // INSECURE: Extracted element is returned without checking expiration timestamp
        *ext = &f->elems[ret].ext;
        return true;
    }
    return false;
}

Correctif Officiel du Noyau

// Patched vectorized lookup with mandatory expiration check
bool nft_pipapo_avx2_lookup(const struct net *net, const struct nft_set *set,
                            const u32 *key, const struct nft_set_ext **ext)
{
    ret = nft_pipapo_avx2_lookup_fast(m, key);
    if (ret >= 0) {
        struct nft_pipapo_elem *e = &f->elems[ret];
        // FIXED: Discard matched element if its timeout expired
        if (nft_set_elem_expired(&e->ext))
            return false;
        *ext = &e->ext;
        return true;
    }
    return false;
}

---

3. Mécanique d’Exploitation & Vecteurs d’Attaque

Un attaquant exploitant CVE-2026-43114 procède selon les étapes suivantes :

1. Formulation de la Condition Déclenchante : L’attaquant prépare des paquets ou des appels système spécialement forgés ciblant net/netfilter/nft_set_pipapo_avx2 pour forcer l’exécution du chemin de code vulnérable.
2. Alignement Mémoire & Pulvérisation de Tas (Heap Spray) : Par des allocations intensives dans les caches slab appropriés (kmalloc-512, filp), l’attaquant positionne des structures sous contrôle pour influencer le déréférencement ultérieur.
3. Détournement du Pointeur d’Instruction ou des Registres de Contrôle : Le pointeur obsolète ou l’état incohérent est traité par l’ordonnanceur ou le gestionnaire d’interruptions, exécutant des instructions sous contrôle attaquant avec les privilèges ring-0 du noyau.

---

4. Règles de Détection & Chasse aux Menaces (Threat Hunting)

Règle d’Audit Hôte Auditd / eBPF

# Surveillance des appels et du sous-système via le démon auditd
-w /usr/sbin/nft -p x -k netfilter_mgmt
-a always,exit -F arch=b64 -S sendmsg,sendto -F a0=3 -k nft_netlink_anomaly

Signature Réseau (Suricata / Snort)

# Signature de détection réseau le cas échéant
alert ip any any -> any any (msg:"HERMES - Détection d'Exploitation CVE-2026-43114"; \
    flow:established; classtype:attempted-admin; sid:99202643114; rev:1;)

---

5. Remédiation & Recommandations Opérationnelles

1. Appliquer les Mises à Jour du Noyau : Mettez à jour les paquets noyau via le gestionnaire officiel de votre distribution :

   sudo dnf upgrade -y kernel kernel-core kernel-modules
   # ou sur systèmes Debian/Ubuntu :
   sudo apt-get update && sudo apt-get --only-upgrade install linux-image-generic

2. Redémarrer le Système et Vérifier la Version Active : Vérifiez que le noyau actif intègre le correctif :

   uname -r
   # Confirmer que la version affichée est >= 6.18.25 ou la révision corrigée

3. Contrôle de Durcissement Sécuritaire :

   cat /sys/kernel/security/lsm