🚨 CVE-2026-43503 — DirtyClone

Quand la mémoire partagée cesse d'être partagée en toute sécurité.

Une vulnérabilité d'escalade de privilèges locaux causée par une propagation incorrecte du SKBFL_SHARED_FRAG drapeau dans la pile réseau Linux.

📖 Aperçu

CVE-2026-43503, surnommé DirtyClone, est une vulnérabilité d'escalade de privilèges locaux de haute sévérité (LPE) affectant le sous-système réseau du noyau Linux.

La vulnérabilité existe parce que plusieurs routines de copie de fragments de tampon de socket (SKB) ne préservent pas le drapeau SKBFL_SHARED_FRAG lors du clonage ou du transfert de fragments de paquets.

En conséquence, la mémoire qui devrait rester protégée par la sémantique Copy-on-Write (CoW) peut devenir inopinément accessible en écriture, permettant à un attaquant local de modifier les données du cache de pages en lecture seule dans des conditions spécifiques.

⚡ Pourquoi « DirtyClone » ?

Le nom DirtyClone reflète deux caractéristiques clés :

• Dirty → La mémoire du cache de pages partagée devient inopinément accessible en écriture.
• Clone → Déclenché lors du clonage ou du transfert de fragments SKB.

Semblable aux précédentes vulnérabilités de corruption mémoire Linux, le problème provient d'une gestion incorrecte des métadonnées de mémoire partagée plutôt que d'un dépassement de tampon traditionnel.

🎯 Impact

L'exploitation réussie peut permettre à un attaquant de :

• 🔺 Élever les privilèges à root
• 🛠 Modifier les fichiers en lecture seule appartenant à root
• 💾 Corrompre la mémoire adossée au cache de pages
• ⚠ Contourner les protections Copy-on-Write attendues
• 🔥 Exécuter du code arbitraire avec des privilèges élevés (selon la chaîne d'exploitation)

🧩 Cause racine

Plusieurs fonctions auxiliaires réseau clonent ou déplacent des fragments de paquets sans copier le :

SKBFL_SHARED_FRAG

drapeau.

Par conséquent, le tampon de socket de destination suppose incorrectement la propriété d'une mémoire qui est en fait partagée.

Cela brise les hypothèses du noyau concernant la propriété des pages et la protection en écriture.

🔬 Fonctions affectées

__pskb_copy_fclone()

skb_shift()

skb_gro_receive()

skb_gro_receive_list()

tcp_clone_payload()

skb_segment()

Chacune de ces routines peut propager des références de fragments sans préserver l'état de fragment partagé.

💥 Flux d'attaque

Local User
     │
     ▼
Create crafted networking workload
     │
     ▼
SKB Fragment Cloning
     │
     ▼
SKBFL_SHARED_FRAG Lost
     │
     ▼
Shared Memory Appears Private
     │
     ▼
Write Into Read-Only Page Cache
     │
     ▼
Privilege Escalation

📸 Démo

📊 Détails de la vulnérabilité

🖥 Composant affecté

Linux Kernel

Subsystem:
net/skbuff

✅ Versions du noyau corrigées

🛡 Atténuation

• Mettez à niveau vers un noyau Linux corrigé.
• Restreignez l'accès au shell local pour les utilisateurs non fiables.
• Appliquez les dernières mises à jour de sécurité du fournisseur.
• Surveillez les systèmes pour détecter les tentatives d'escalade de privilèges.
• Suivez le principe du moindre privilège.

🔍 Détection

Les indicateurs peuvent inclure :

• Modification inattendue de fichiers en lecture seule
• Comportement anormal du cache de pages
• Tentatives d'escalade de privilèges locaux
• Avertissements du noyau liés à la gestion de la mémoire réseau

📚 Résumé technique

🧠 Point clé

DirtyClone n'est pas une exploitation réseau à distance—c'est une vulnérabilité d'escalade de privilèges locaux causée par une gestion incorrecte des fragments de tampon de socket partagés. La perte du drapeau SKBFL_SHARED_FRAG permet des écritures dans une mémoire qui devrait rester protégée, sapant les garanties Copy-on-Write de Linux et permettant l'escalade de privilèges dans les bonnes conditions.