Nouvelle faille dans le noyau Linux. Suivie sous la référence CVE-2026-43503 et surnommée DirtyClone par les chercheurs de JFrog, cette vulnérabilité permet à un utilisateur local non privilégié de devenir root en corrompant de la mémoire associée à des fichiers via des paquets réseau clonés.
L’affaire prolonge une série de correctifs autour de la famille DirtyFrag. Selon JFrog, le défaut a été signalé aux mainteneurs du noyau le 19 mai 2026 et intégré dans la branche principale le 21 mai 2026. La CVE a été publiée le 23 mai 2026, et une note de sécurité SUSE du 29 mai 2026 mentionne également CVE-2026-43503 parmi les corrections apportées au noyau.
Points clés
- CVE-2026-43503 (DirtyClone) permet une élévation de privilèges locale jusqu’à root, score CVSS 8,8
- La faille vient d’un marqueur SKBFL_SHARED_FRAG mal propagé dans le traitement des fragments réseau (XFRM/IPsec)
- Debian, Ubuntu, Fedora, SUSE et Tails (7.8.1) sont concernés ou ont publié des correctifs
- Mitigations possibles : restreindre CAP_NET_ADMIN via user namespaces et bloquer esp4, esp6, rxrpc
Un marqueur perdu dans le traitement des fragments
Le bug tient à des fonctions de transfert de fragments du sous-système réseau. JFrog décrit un scénario dans lequel des helpers comme __pskb_copy_fclone() et skb_shift() ne propagent pas correctement le marqueur SKBFL_SHARED_FRAG. Le noyau peut alors traiter comme privée une page qui reste partagée ou liée au page cache. Un utilisateur local peut ainsi détourner le traitement et écrire dans la mémoire de fichiers en lecture seule, avec à la clé une élévation de privilèges.
JFrog classe la faille à 8,8/10 sur l’échelle CVSS et indique qu’elle peut conduire à un accès root sans trace particulière dans les journaux du noyau. Les chercheurs précisent que leur variante DirtyClone exploite une autre voie de traitement des paquets clonés, dans le sous-système XFRM/IPsec, après des correctifs partiels liés à DirtyFrag.
« Nous avons signalé le problème aux mainteneurs du noyau Linux le 19 mai. Les variantes ont été corrigées et intégrées à la branche principale le 21 mai, et la référence CVE-2026-43503 a été attribuée », indique l’équipe de recherche de JFrog dans son analyse.
Distributions touchées et correctifs diffusés
JFrog indique que l’attaque fonctionne sur des distributions courantes lorsque les user namespaces non privilégiés sont activés, avec des confirmations sur Debian, Ubuntu et Fedora. SUSE a publié des mises à jour de sécurité intégrant CVE-2026-43503. Tails a livré une version d’urgence, Tails 7.8.1, embarquant un noyau corrigé 6.12.90-2.
La recommandation est commune à tous les éditeurs : appliquer les correctifs du noyau dès que possible. Quand une mise à jour immédiate n’est pas possible, JFrog évoque des mesures de réduction du risque, dont la limitation de l’obtention de CAP_NET_ADMIN via les user namespaces et le blocage de certains modules réseau concernés, comme esp4, esp6 et rxrpc.
- Référence : CVE-2026-43503
- Nature : élévation de privilèges locale
- Impact : accès root via corruption de mémoire liée au page cache
- Score CVSS : 8,8
- Correctif : intégré en amont et rétroporté par plusieurs distributions
À la jonction du réseau et du stockage
DirtyClone s’inscrit dans une série de failles où le noyau gère mal des fragments réseau reliés à des pages déjà présentes dans le page cache. Plusieurs chemins de traitement exposent la même primitive d’écriture, ce qui oblige les mainteneurs et les intégrateurs de distributions à vérifier l’ensemble de la chaîne de correctifs, et pas seulement un commit isolé.
Pour les administrateurs, le contrôle reste simple : vérifier la version du noyau installée, appliquer les mises à jour de sécurité de la distribution et redémarrer sur le noyau corrigé. Dans les environnements multi-tenant, conteneurisés ou reposant sur les user namespaces, le risque est plus sensible, l’attaque partant d’un compte local non privilégié.
