Le code d'exploitation de GhostLock rendu public pour un bug de root sous Linux qui a perduré 15 ans

Des chercheurs de Nebula Security ont publié une analyse technique complète et un code d'exploitation fonctionnel pour GhostLock (CVE-2026-43499), une vulnérabilité use-after-free dans le noyau Linux présente dans toutes les distributions majeures depuis 2011. L'exploit permet d'obtenir une escalade de privilèges vers root avec une stabilité de 97 % et peut également être utilisé pour une évasion de conteneur, ce qui en fait l'un des exploits d'escalade de privilèges locaux les plus fiables observés récemment.

Une erreur vieille de 15 ans dans le code de verrouillage du noyau

GhostLock se trouve dans kernel/locking/rtmutex.c, plus précisément dans la fonction remove_waiter() qui gère l'héritage de priorité des mutex temps réel (rtmutex). Le bug a été introduit dans Linux 2.6.39 par un commit de 2011 et est resté non corrigé pendant environ 15 ans, jusqu'en avril 2026.

La faille provient d'une mauvaise gestion subtile des pointeurs de tâche lors des opérations futex d'héritage de priorité (PI). Lorsqu'un thread est retiré d'une liste d'attente, la fonction efface incorrectement le champ pi_blocked_on de la tâche appelante au lieu de la tâche correcte qui est retirée. Un attaquant non privilégié peut déclencher cette condition en utilisant uniquement des appels système de threading standard, obtenant ainsi un pointeur noyau pendant vers la mémoire de la pile.

À partir de là, la chaîne d'attaque permet d'écrire un pointeur vers presque n'importe quelle adresse noyau et de détourner une table de fonctions pour prendre le contrôle total du flux, aboutissant à un shell root. L'exploit nécessite que CONFIG_FUTEX_PI soit activé — ce qui est la configuration par défaut sur pratiquement toutes les distributions Linux.

Récompensé de $92,337 dans le cadre du kernelCTF de Google

Nebula Security a d'abord démontré GhostLock lors de la compétition kernelCTF de Google, où ils ont reçu une récompense de $92,337 pour l'exploit fonctionnel. L'article Part 2 de l'équipe, publié le 7 juillet, fournit une feuille de route d'exploitation complète incluant les techniques de layout du tas utilisées pour atteindre un taux de réussite de 97 % sur les versions du noyau allant de 2.6.39 à 7.1-rc1.

Comme l'a rapporté Nebula Security en premier, la plage vulnérable couvre la grande majorité des noyaux livrés par les distributions majeures au cours des 15 dernières années. Tout système exécutant un noyau de cette plage sans l'ensemble de correctifs d'avril 2026 reste exploitable par un utilisateur local.

Un correctif est disponible — mais de nombreux systèmes restent non protégés

Les mainteneurs du noyau Linux ont livré le correctif en avril 2026 via des commits vers l'arborescence stable, et les distributions majeures ont inclus le patch dans leurs mises à jour LTS les plus récentes. Cependant, avec le code d'exploitation désormais public, tout système Linux non corrigé sur lequel un utilisateur non fiable peut se connecter localement est en danger sérieux.

Les environnements conteneurisés méritent une attention particulière : une évasion de conteneur via GhostLock donne à un attaquant un accès root sur l'hôte sous-jacent, contournant tout l'isolement des conteneurs. Les fournisseurs de cloud exploitant des environnements mutualisés multi-locataires sur des noyaux non corrigés devraient traiter cela comme un problème P0.

Que faire maintenant

Les administrateurs système doivent immédiatement vérifier leur version du noyau et mettre à jour vers la dernière version LTS de leur distribution si ce n'est pas déjà fait. Le correctif se trouve dans l'arborescence stable du noyau et a été rétroporté sur les branches LTS prises en charge. Les distributions, notamment Ubuntu, Debian, Fedora, Red Hat Enterprise Linux et Alpine, ont toutes publié des paquets mis à jour.

Exécuter uname -r et comparer avec la version corrigée du noyau de votre distribution est le moyen le plus rapide de vérifier l'exposition. En attendant que le correctif soit appliqué, il est conseillé de restreindre l'accès des utilisateurs locaux et d'auditer les journaux d'audit pour détecter les tentatives inhabituelles d'escalade de privilèges.