CVE-2026-98432 : Use-After-Free dans la pile TCP IPv4 du noyau Linux — analyse et outil de détection
🔍 Contexte Publié sur GitHub (xen0bit/netprobe-cve-2026-98432), ce dépôt présente une analyse technique approfondie de la CVE-2026-98432, une vulnérabilité de type Use-After-Free (UAF) dans la pile TCP IPv4 du noyau Linux, accompagnée d’un outil de détection réseau nommé netprobe. 🐛 Nature de la vulnérabilité La vulnérabilité réside dans la gestion des options IP lors de l’établissement d’une connexion TCP : tcp_v4_init_req() stocke les options IP du SYN dans ireq->ireq_opt tcp_v4_syn_recv_sock() transfère le pointeur vers le socket enfant sans copie Un SYN retransmis concurrent lit ireq->ireq_opt sous rcu_read_lock() via ip_options_build() Si le socket enfant est libéré avant cette lecture, il y a use-after-free Le noyau copie alors les octets périmés dans un SYN-ACK, ce qui constitue le signal de détection sur le fil Le correctif est le commit e3f33b0a1d89d738e2b913dab519226eaf76e15b : remplacement de kfree() par kfree_rcu() dans inet_sock_destruct() et tcp_v4_reqsk_destructor(). ...