CVE-2026-74512 : libération prématurée et utilisation après libération (UAF) lors de la suppression de règle d'audit (noyau Linux)

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE DU NOYAU LINUX

Cible : kernel/auditfilter.c (Linux Kernel Auditing Framework)

Confiance : 95%

86 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 attribue à la vulnérabilité CVE-2026-74512 la note de 7.8 (HIGH, CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). Le score opérationnel Hermes évalue le risque à 86 (HIGH) en raison de la criticité de l'exécution en espace noyau.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-74512: Linux Kernel Audit Subsystem Rule Deletion Premature Free Use-After-FreeVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTLinux Kernel Core

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Linux Kernel Core documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte de sécurité noyau Linux : CWE-416 : use-after-free

CVSS v3.1 : 7.8 HIGH : (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) / CWE-416: Use-After-Free. Corrigée dans les versions stables officielles du noyau Linux pour le sous-système kernel/auditfilter.c (Linux Kernel Auditing Framework).

Résumé exécutif

La CVE-2026-74512 affecte le moteur de filtrage du sous-système d’audit du noyau Linux (kernel/auditfilter.c). Dans audit_del_rule(), lors de la suppression d’une règle d’audit ciblant un chemin d’exécutable (champ AUDIT_EXE), le code détruisait la structure exe associée immédiatement avant de détacher la règle via call_rcu(). Des processus concurrents effectuant des appels système parcouraient la liste protégée par RCU et déréférençaient la structure déjà libérée, permettant une élévation locale de privilèges vers root.

---

1. Contexte technique & matrice des versions affectées

Le noyau Linux constitue le socle fondamental des infrastructures serveurs, cloud et embarquées. Les vulnérabilités touchant des sous-systèmes critiques tels que kernel/auditfilter.c (Linux Kernel Auditing Framework) représentent un danger majeur d’évasion de conteneurs et de compromission complète des machines hôtes.

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	CVE-2026-74512	Bulletin officiel de sécurité du noyau Linux
Sous-système affecté	kernel/auditfilter.c (Linux Kernel Auditing Framework)	Sous-système du noyau Linux
Classe de faiblesse	CWE-416: Use-After-Free	Défaut de sûreté mémoire et validation des limites
Score CVSS v3.1	7.8 (HIGH / Score Hermes 86)	CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Architectures cibles	x86_64, aarch64, arm64, riscv64	Déploiements Linux serveurs et postes
Version amont corrigée	Linux 6.18.23	Déployée sur les branches LTS (6.6, 6.12, 6.18+)
Techniques MITRE ATT&CK	T1562.001 - Impair Defenses: Disable or Modify Tools, T1068 - Exploitation for Privilege Escalation	Élévation de privilèges et évasion de défenses
Référence forensique	Analyse des traces auditd et journaux système Linux	Analyse mémoire et artefacts système Linux

---

2. Décomposition technique approfondie & cause racine

L’analyse du code source incriminé dans kernel/auditfilter.c (Linux Kernel Auditing Framework) met en lumière les défaillances de contrôle de bornes ou de synchronisation du cycle de vie mémoire.

// Bug in kernel/auditfilter.c
static inline int audit_del_rule(struct audit_entry *entry)
{
    struct audit_entry *e;
    ...
    /* VULNERABILITY: audit_rule_exe_free frees e->rule.exe IMMEDIATELY,
       while concurrent syscalls are still evaluating the rule under RCU read lock! */
    if (e->rule.exe)
        audit_rule_exe_free(e->rule.exe);

    list_del_rcu(&e->list);
    call_rcu(&e->rcu, audit_free_rule_rcu); // Freeing memory too late, after partial destruction
    return 0;
}

Lorsque les conditions d’exploitation sont réunies, les descripteurs mémoire ou les pointeurs internes divergent des allocations initiales. Dans un noyau moderne avec randomisation KASLR et durcissement SLUB, un attaquant associe cette primitive à des techniques de heap spraying pour obtenir un contrôle stable de l’espace noyau.

---

3. Scénarios d’attaque & modélisation des menaces

1. Vecteur initial & prérequis : un attaquant local exécute en boucle des appels système surveillés tout en envoyant des requêtes Netlink AUDIT_DEL_RULE pour supprimer et réajouter des règles filtrant sur des chemins d’exécutables.
2. Déclenchement de la primitive : l’attaquant émet des données forgées ou invoque un appel système spécifique qui active le chemin vulnérable dans kernel/auditfilter.c (Linux Kernel Auditing Framework).
3. Corruption de mémoire : l’intégrité de la structure noyau est rompue en espace noyau.
4. Conséquences opérationnelles : l’attaque aboutit soit à un déni de service immédiat (kernel panic paralysant le serveur), soit à une élévation locale de privilèges octroyant les droits root et l’évasion de conteneur.

---

4. Détection forensique, artefacts & logs système

Les analystes du SOC et les intervenants en réponse à incident (DFIR) doivent exploiter les journaux du noyau, les traces d’audit et les sondes eBPF pour identifier les traces d’exploitation.

Journal du noyau (dmesg / journalctl)

Surveillez /var/log/dmesg ou journalctl -k à la recherche des motifs de crash suivants : BUG: KASAN: slab-use-after-free in audit_filter_rules or audit_match_exe. Détectez les alertes KASAN ou les erreurs de pagination mémoire dans kernel/auditfilter.c.

Audit Linux & appels système

Règles d’audit auditd pour tracer l’exécution anormale de commandes ou l’ouverture de descripteurs suspects. Consultez Analyse des traces auditd et journaux système Linux.

Règles de détection et Threat Hunting

Règle Sigma

sigma_kernel_cve_2026_74512.yaml

title: Linux Netlink Audit Rapid Rule Churn and Use-After-Free Trigger (FR)
id: cve-2026-74512
status: experimental
description: Détecte les anomalies de crash noyau et les traces d'exploitation associées à la CVE-2026-74512.
logsource:
    category: kernel
    product: linux
detection:
    selection_dmesg:
        - 'BUG:'
        - 'kernel'
    condition: selection_dmesg
fields:
    - Message
    - Hostname
falsepositives:
    - Défaillances matérielles de RAM ou tests unitaires noyau
level: high

Sonde eBPF

# Surveillance par tracepoint eBPF du sous-système kernel/auditfilter.c
sudo bpftrace -e '
kprobe:audit_del_rule {
    printf("PID %d (%s) a déclenché la fonction cible\n", pid, comm);
}'

---

5. Remédiation, durcissement & mesures d’atténuation

La résolution requiert l’application prioritaire des correctifs du noyau et le durcissement de la configuration système :

1. Mise à niveau du noyau : installez la version officielle 6.18.23 ou les paquets de sécurité maintenus par votre distribution (Debian, Ubuntu, RHEL, Rocky Linux, SUSE).
2. Isolation des modules : si le sous-système incriminé est compilé sous forme de module (.ko) et n’est pas strictement requis en production, désactivez-le via /etc/modprobe.d/blacklist.conf.
3. Durcissement des sysctl : restreignez l’accès aux pointeurs et journaux du noyau via sysctl -w kernel.kptr_restrict=2 et sysctl -w kernel.dmesg_restrict=1.
4. Surveillance forensique : pour approfondir l’investigation et la détection d’implants noyau, consultez notre guide sur Analyse des traces auditd et journaux système Linux.