CVE-2026-6100 : utilisation après libération (UAF) dans les décompresseurs CPython sous pression mémoire

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE APPLICATIVE

Cible : CPython (lzma, bz2, gzip decompressor modules)

Confiance : 94%

88 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2026-6100 à 8.1 (HIGH, CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H). Le score opérationnel Hermes s'établit à 88 (HIGH) en raison de l'exposition critique de l'écosystème Python dans les pipelines de données et d'IA.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-6100: CPython Decompressor Use-After-Free under Memory PressureVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTCPython Interpreter & Standard Library

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in CPython Interpreter & Standard Library documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte de sécurité applicative : CWE-416 : use-after-free

CVSS v3.1 : 8.1 HIGH : (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H) / CWE-416: Use-After-Free. Corrigée dans la version officielle amont 3.13.14.

Résumé exécutif

La CVE-2026-6100 concerne CPython des versions 3.10 à 3.14. Lors de la décompression de flux avec lzma.LZMADecompressor, bz2.BZ2Decompressor ou gzip.GzipFile, un échec d’allocation mémoire (MemoryError sous forte charge) libère partiellement les structures C sans réinitialiser les pointeurs internes. Si l’application intercepte l’exception et réutilise l’instance pour décompresser de nouvelles données, CPython déréférence une zone libérée (UAF), entraînant une corruption de tas et une exécution de code.

---

1. Contexte technique & matrice des versions affectées

Le composant CPython (lzma, bz2, gzip decompressor modules) intervient au cœur des runtimes applicatifs, des microservices et des chaînes de traitement de données sous Python.

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	CVE-2026-6100	Bulletin officiel de sécurité amont
Produit affecté	python:cpython	Écosystème logiciel Python
Composant vulnérable	CPython (lzma, bz2, gzip decompressor modules)	Bibliothèque standard / Outil de packaging
Classe de faiblesse	CWE-416: Use-After-Free	Faiblesse d’exécution / Gestion des ressources
Score CVSS v3.1	8.1 (HIGH / Score Hermes 88)	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Version corrigée	3.13.14	Correctif officiel amont
Techniques MITRE ATT&CK	T1499 - Endpoint Denial of Service, T1068 - Exploitation for Privilege Escalation	Exécution de code / Déni de service
Référence forensique	Analyse mémoire des processus et corruption de tas	Analyse mémoire et diagnostic des processus

---

2. Décomposition technique approfondie & cause racine

L’examen du code source incriminé met en évidence la faille logique ou l’absence de vérification d’encadrement :

// Vulnerability in Modules/_lzmamodule.c (decompressor_decompress)
static PyObject *
decompress(Decompressor *self, PyObject *args)
{
    uint8_t *new_buf = PyMem_RawRealloc(self->buffer, new_size);
    if (!new_buf) {
        /* VULNERABILITY: self->buffer is freed by realloc failure logic
           but self->buffer pointer is not set to NULL! */
        PyErr_NoMemory();
        return NULL; // Leaves self->buffer as a dangling pointer!
    }
    self->buffer = new_buf;
    return PyBytes_FromStringAndSize(self->buffer, out_size);
}

Lorsque des entrées non fiables atteignent cette routine, le comportement du programme diverge des invariants de sécurité attendus, provoquant une saturation de ressources ou une manipulation de pointeurs en mémoire.

---

3. Scénarios d’attaque & modélisation des menaces

1. Vecteur initial & prérequis : un service web traitant des corps de requêtes compressés subit un MemoryError sous forte charge mémoire.
2. Déclenchement de la primitive : l’attaquant injecte des données spécialement forgées vers CPython (lzma, bz2, gzip decompressor modules).
3. Rupture d’isolement / saturation : le mécanisme de contrôle interne est dépassé.
4. Conséquences opérationnelles : l’attaquant émet alors une seconde requête spécialement conçue pour réallouer la zone mémoire libérée et détourner le flot d’exécution vers un shellcode..

---

4. Détection forensique, artefacts & logs système

Les analystes de sécurité peuvent identifier les tentatives d’exploitation en corrélant les traces applicatives et les alertes du système d’exploitation.

Télémétrie des processus & crashs

Surveillez les journaux applicatifs à la recherche des motifs : python3[pid]: segfault at ... error 4 in _lzma.cpython-*.so. Recherchez les pics anormaux de CPU ou les arrêts forcés par manque de mémoire (OOM).

Auditd & surveillance des appels

Déployez des règles d’audit pour tracer les créations de processus enfants ou les écritures anormales. Consultez Analyse mémoire des processus et corruption de tas.

Règles de détection et Threat Hunting

Règle Sigma

sigma_cve_2026_6100.yaml

title: CPython Heap Corruption Crash in Native Decompression Module (FR)
id: cve-2026-6100
status: experimental
description: Détecte les anomalies de crash ou d'exécution associées à CVE-2026-6100.
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        - 'python3[pid]:'
        - 'cpython'
    condition: selection
fields:
    - CommandLine
    - User
level: high

Tracepoint eBPF

# Surveillance par tracepoint eBPF des exécutions sous python:cpython
sudo bpftrace -e '
tracepoint:syscalls:sys_enter_execve /comm == "python3"/ {
    printf("PID %d a lancé: %s\n", pid, str(args->filename));
}'

---

5. Remédiation, durcissement & mesures d’atténuation

La sécurisation des environnements applicatifs repose sur le déploiement des correctifs et le durcissement du traitement des données :

1. Mise à niveau des paquets : mettez à jour python:cpython vers la version 3.13.14 ou ultérieure via votre gestionnaire de paquets ou vos fichiers de dépendances (requirements.txt, Pipfile, pyproject.toml).
2. Programmation défensive : imposez des limites strictes sur les tailles de fichiers acceptés et bannissez les modules de désérialisation dangereux comme pickle au profit de formats sécurisés tels que JSON ou safetensors.
3. Surveillance forensique : pour approfondir l’analyse d’incidents et la télémétrie système, consultez notre guide sur Analyse mémoire des processus et corruption de tas.