Copy Fail + Dirty Frag : deux LPE root critiques sur Linux en 10 jours, ce qu'il faut patcher cette semaine

Deux vulnérabilités d'élévation de privilèges critiques sur le noyau Linux ont été divulguées entre le 29 avril et le 8 mai 2026 : Copy Fail (CVE-2026-31431) et Dirty Frag (CVE-2026-43284 + CVE-2026-43500). Les deux permettent à un utilisateur local non-privilégié de devenir root. Toutes les distros majeures sont affectées. Si une PME utilise des serveurs Linux (VPS, NAS, runners CI, hyperviseurs Proxmox, GitLab/Mattermost self-hosted), c'est une priorité de la semaine.

Copy Fail vs Dirty Frag : tableau comparatif

1. Copy Fail (CVE-2026-31431)

Copy Fail est un bug logique introduit en 2017 dans le template cryptographique authencesn(hmac(sha256),cbc(aes)) du module algif_aead. Une optimisation in-place de l'époque met en partage les scatterlists source et destination. Quand un utilisateur non-privilégié envoie un fichier via splice() sur la socket AF_ALG, le kernel écrit 4 octets de données contrôlées dans le page cache d'un fichier en lecture seule : par exemple un binaire setuid root. Modifier ces 4 octets suffit à ouvrir un shell root.

L'exploit publié par Xint Code tient en 10 lignes Python, 732 octets. Il fonctionne sans recompilation sur Ubuntu, Debian, RHEL, SUSE et toutes les distros qui embarquent un kernel 4.14 à 7.0-rc. Comparé à Dirty Cow (2016) et Dirty Pipe (2022), Copy Fail est plus fiable parce que purement déterministe : pas de fenêtre de race, pas de retry.

Versions corrigées : kernel 6.18.22, 6.19.12 et 7.0. Toutes les distros majeures ont publié des paquets correctifs entre le 1er et le 7 mai 2026.

2. Dirty Frag (CVE-2026-43284 + CVE-2026-43500)

Dirty Frag chaîne deux bugs distincts dans les fast paths de déchiffrement in-place de trois sous-systèmes réseau du kernel : esp4, esp6 (IPsec ESP, CVE-2026-43284) et rxrpc (CVE-2026-43500).

Quand un socket buffer contient des paged fragments qui ne sont pas la propriété privée du kernel, par exemple des pages issues d'un pipe attaché via splice(2), sendfile(2) ou MSG_SPLICE_PAGES, le chemin de réception déchiffre directement par-dessus ces pages externes. Le résultat : un attaquant non-privilégié peut soit corrompre des données plaintext qu'un autre processus pensait avoir, soit en exfiltrer le contenu.

Plan d'action 4 étapes pour les PME

uname -r

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / Rocky / AlmaLinux / Fedora
sudo dnf update kernel -y && sudo reboot

# SUSE
sudo zypper update kernel-default && sudo reboot

uname -r && date -u +"%Y-%m-%dT%H:%M:%SZ" >> /var/log/kyrionn/cve-2026-31431-43284-43500.log

Pourquoi c'est aussi un enjeu NIS2

La directive NIS2 (UE 2022/2555), transposée en droit français depuis octobre 2024, impose à l'article 21.2.b une mesure de gestion des vulnérabilités documentée. Concrètement, pour les PME entités essentielles ou importantes, cela signifie : être capable de prouver à l'ANSSI (lors d'un audit ou après un incident) qu'un correctif critique a été appliqué dans des délais raisonnables après sa publication.

Une CVE classée KEV par la CISA, des distros qui patchent en 48-72h, une exploitation active confirmée : si un audit ANSSI tombe et que ces patchs ne sont pas appliqués 30 jours après leur publication, le contrôle gestion des vulnérabilités sera marqué comme non conforme. C'est le genre de finding qui se voit dans les rapports.

Comment Kyrionn vous aide à tracer ces patchs