Linux

🔍 Contexte Publié sur GitHub par le compte MatheuZSecurity, le dépôt Furtex est un toolkit de post-exploitation et d’évasion pour Linux, actif depuis environ deux semaines au moment de la publication (2026-08-02). Il est distribué sous licence MIT et compte déjà 237 étoiles et 25 forks. 🛠️ Description générale Furtex est structuré en cinq modules principaux : io_uring/ : 13 outils exploitant l’interface io_uring du noyau Linux pour contourner les hooks syscall classiques (lecture/écriture de fichiers, reverse shell, injection mémoire, exfiltration DNS, AF_PACKET, XDP) bpf/ : 15 outils de manipulation des maps et programmes BPF (reconnaissance, empoisonnement, détachement de liens BPF, backdoor ICMP) ebpf/ : 9 programmes BPF côté noyau (keylogger, capture TTY, masquage de ports/PIDs, C2 via BPF socket filter et XDP) edrs/ : 75 outils de contournement d’EDR et de post-exploitation (détection d’EDR, injection de processus, persistance, exfiltration, C2 multi-canaux, effacement de traces) techniques/ : 13 outils ciblant spécifiquement les 25 règles par défaut de Falco (modern_ebpf driver) ⚙️ Techniques d’évasion clés io_uring contourne nativement la sys_call_table, les tracepoints sys_enter_* et les livepatches sur native_sys_call Détachement de liens BPF LSM (KRSI) via bpf_link_detach Désactivation de Linux Audit via NETLINK_AUDIT Suppression des hooks PLT-GOT et kprobes/ftrace Contournement de netfilter via AF_PACKET (couche 2) et AF_XDP Techniques de masquage : prctl(PR_SET_NAME), process hollowing, namespace pivoting, cgroup escape Exfiltration via DNS, ICMP, splice(2), mémoire partagée POSIX, sockets Unix abstraits Persistance via authorized_keys, crontab, bashrc, LD_PRELOAD 🎯 Cibles déclarées Les outils ciblent explicitement : Falco, Tetragon, les EDR basés sur BPF/kprobes, Linux Audit, inotify, fanotify, et les hooks de type livepatch. ...

🗓️ Contexte Source : discourse.ifin.network, publié le 31 juillet 2026. L’article rapporte une nouvelle campagne de compromission de la chaîne d’approvisionnement logicielle ciblant l’Arch User Repository (AUR). 🎯 Incident Le package openconnect-sso a été identifié comme le premier paquet confirmé porteur de malware, avec une infection active depuis le 29 juillet 2026. En réponse, l’équipe AUR a désactivé la fonctionnalité d’adoption de paquets et travaille activement à la suppression des commits malveillants. De nouveaux commits malveillants continuaient d’être découverts au moment de la publication. ...

📅 Source : GBHackers Security, publié le 27 juin 2026. Une vulnérabilité critique d’élévation de privilèges locale (LPE) a été découverte dans le noyau Linux, désignée CVE-2026-43503 et nommée DirtyClone. 🔍 Nature de la vulnérabilité : La faille réside dans le sous-système XFRM/IPsec, plus précisément dans le chemin de traitement des paquets. Elle permet la manipulation du cache de pages (page cache) du système. Elle contourne des mitigations antérieures déjà en place. ⚠️ Impact : ...

🔍 Contexte Source : The Hacker News, publiée le 26 juin 2026. L’article rapporte la découverte et la divulgation publique d’une vulnérabilité critique dans le noyau Linux, identifiée sous le nom CVE-2026-46331 et surnommée « pedit COW ». 🐛 Vulnérabilité Type : Écriture hors limites (out-of-bounds write) Composant affecté : Sous-système de contrôle du trafic réseau du noyau Linux, spécifiquement le module d’action d’édition de paquets (act_pedit) Mécanisme : La faille corrompt la mémoire partagée du cache de pages (shared page-cache memory) Impact : Élévation de privilèges locale — un utilisateur non privilégié peut obtenir les droits root sur les systèmes affectés ⚡ Exploitation Un exploit public fonctionnel a été publié dans la journée suivant l’attribution du CVE, soit le 16 juin 2026 La rapidité de publication de l’exploit augmente significativement le risque d’exploitation active 🏢 Évaluation des éditeurs Red Hat a attribué une sévérité à cette vulnérabilité (le niveau exact n’est pas précisé dans l’extrait disponible) 📌 Type d’article Article de presse spécialisée signalant une vulnérabilité noyau Linux avec exploit public disponible, destiné à informer les équipes de sécurité et les administrateurs systèmes Linux. ...

🔍 Contexte Publié le 3 juin 2026 par Vincent Li (FortiGuard Labs), cet article présente l’analyse technique détaillée de C0XMO, un nouveau variant du botnet Gafgyt découvert en mars 2026. La cible initiale était une entreprise technologique japonaise, mais l’adresse IP source de l’attaque a été tracée en Allemagne. 🎯 Vecteur d’infection initial Le malware se propage en exploitant CVE-2021-27137, un stack buffer overflow dans le service UPnP des firmwares DD-WRT antérieurs au changeset 45723. La vulnérabilité est déclenchée via des requêtes M-SEARCH malformées envoyées sur le port UDP 1900, exploitant une mauvaise gestion des valeurs ST:uuid: surdimensionnées par le parseur SSDP. ...

🔍 Contexte Publié le 30 mai 2026 sur BleepingComputer, cet article rapporte la divulgation d’une vulnérabilité locale d’élévation de privilèges dans le noyau Linux, nommée CIFSwitch, découverte par Asim Viladi Oglu Manizada, ingénieur sécurité chez SpaceX. 🧩 Mécanisme de la vulnérabilité Le sous-système CIFS du noyau Linux ne vérifie pas que les requêtes de clé cifs.spnego proviennent bien du client CIFS du noyau. Un utilisateur non privilégié peut ainsi : Créer une requête cifs.spnego forgée pour déclencher le workflow d’authentification normal Abuser du helper cifs.upcall (exécuté en root) qui fait confiance aux champs contrôlés par l’attaquant Forcer un changement de namespace, puis déclencher une résolution NSS (Name Service Switch) avant l’abandon des privilèges Charger un module NSS malveillant pour obtenir une exécution de code en root 📦 Versions et distributions affectées La faille a été introduite en 2007 et affecte les combinaisons vulnérables du noyau CIFS et de cifs-utils (versions 6.14 et supérieures, ainsi que certaines versions antérieures). Les distributions confirmées vulnérables dans leur configuration par défaut incluent : ...

🔍 Contexte Publié le 27 mai 2026 par Asim Viladi Oglu Manizada sur son blog personnel, cet article détaille la découverte et l’exploitation d’une vulnérabilité d’élévation de privilèges locale (LPE) baptisée CIFSwitch, affectant le noyau Linux et le paquet cifs-utils. La découverte a été facilitée par l’utilisation d’agents LLM. 🐛 Description de la vulnérabilité La vulnérabilité repose sur une chaîne de bugs logiques à l’intersection du module noyau CIFS et du helper userspace cifs.upcall fourni par cifs-utils : ...

🗓️ Contexte Article publié le 20 mai 2026 par Picus Security (picussecurity.com), rédigé par Umut Bayram. Il s’agit d’une analyse technique approfondie de la classe de vulnérabilités Dirty Frag, découverte et rapportée par Hyunwoo Kim (@v4bel), divulguée le 7 mai 2026. 🔍 Description de Dirty Frag Dirty Frag est une classe de vulnérabilités du noyau Linux permettant d’obtenir les privilèges root sur la majorité des distributions Linux. Elle repose sur l’enchaînement de deux vulnérabilités distinctes qui exploitent le mécanisme de zero-copy via splice() pour injecter une référence à une page du page cache en lecture seule dans un fragment (frag) d’un sk_buff, que le noyau modifie ensuite lors du traitement cryptographique en place. ...

🔍 Contexte Publié le 15 mai 2026 sur GitHub par le compte 0xdeadbeefnetwork, le dépôt ssh-keysign-pwn met à disposition un proof-of-concept (PoC) fonctionnel exploitant une vulnérabilité du noyau Linux. Le bug a été rapporté par Qualys et corrigé par Linus Torvalds le 2026-05-14 (commit 31e62c2ebbfd). Jann Horn avait identifié la forme de vol de descripteur de fichier dès octobre 2020, soit six ans avant le correctif. 🐛 Vulnérabilité exploitée La faille réside dans __ptrace_may_access() : lorsque task->mm == NULL, la vérification dumpable est ignorée. Durant do_exit(), exit_mm() s’exécute avant exit_files(), créant une fenêtre temporelle où le processus n’a plus de mm mais conserve ses descripteurs de fichiers ouverts. pidfd_getfd(2) réussit dans cette fenêtre si l’UID de l’appelant correspond à celui de la cible. ...

🔍 Contexte Publié le 8 mai 2026 sur GitHub par le chercheur Hyunwoo Kim (@v4bel), ce write-up technique détaille Dirty Frag, une classe de vulnérabilités Linux permettant d’obtenir les privilèges root sur la majorité des distributions Linux en chaînant deux primitives d’écriture arbitraire en page cache. 🧩 Vulnérabilités impliquées Dirty Frag repose sur deux vulnérabilités distinctes : CVE-2026-43284 — xfrm-ESP Page-Cache Write : Dans esp_input(), lorsqu’un skb non-linéaire sans frag_list est traité, le code contourne skb_cow_data() et effectue un déchiffrement AEAD en place directement sur la page cache. Via splice(), un attaquant peut planter une page cache en lecture seule dans le frag du skb. La fonction crypto_authenc_esn_decrypt() effectue un STORE de 4 octets contrôlés (via seq_hi de l’attribut XFRMA_REPLAY_ESN_VAL) à un offset de fichier choisi. L’authentification AEAD échoue mais le STORE est déjà persisté. Nécessite CAP_NET_ADMIN (user namespace suffisant). ...