Quatrième vulnérabilité critique du noyau Linux ce mois-ci : risque de vol des clés hôtes SSH – ZDNET

Une vulnérabilité fraîchement publiée inquiète tout l’écosystème Linux : elle permet le vol de clé hôte SSH en lecture seule, sans privilège root. Le bug, surnommé « ssh-keysign-pwn », constitue le quatrième risque critique touchant le noyau Linux depuis le début du mois. L’alerte vient de ZDNET et de l’équipe Qualys, qui confirment qu’un correctif existe déjà, mais qu’il n’a pas encore atterri dans la plupart des dépôts.

Vulnérabilité ssh-keysign-pwn : un casse-clé industriel

Le noyau accepte, durant quelques millisecondes, qu’un processus ordinaire récupère les descripteurs de fichiers d’un service privilégié en phase de sortie. Cette faille dans __ptrace_may_access() laisse filtrer les fichiers ouverts par ssh-keysign, donc la précieuse clé SSH de l’hôte et souvent le shadow. L’attaque informatique ne livre pas un shell root, mais elle offre une carte d’identité parfaite pour l’usurpation et la persistance réseau.

La surface est immense : tous les noyaux antérieurs au 14 mai 2026 sont vulnérables, qu’ils alimentent un Raspberry Pi domestique ou un cluster Kubernetes taille datacenter. Qualys montre un PoC stable ; il suffit d’enchaîner ptrace, pidfd_getfd et un timing précis pour siphonner les secrets, même sur un système d’exploitation durci.

Pourquoi les garde-fous du noyau ont cédé

Linus Torvalds reconnaît que le flag « dumpable » est réutilisé hors de son périmètre d’origine : quand la mémoire d’un processus disparaît, la vérification de sécurité saute. Ajoutez la nouvelle API pidfd et l’on obtient un contournement élégant des protections Yama. Dans la vraie vie, un attaquant local peut lancer l’exploit en boucle jusqu’à capturer la poignée de fichiers convoités.

Correctifs disponibles et actions dès maintenant

Greg Kroah-Hartman a poussé des versions 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 et 5.10.256 intégrant le patch. Tant que votre distribution n’expédie pas ces noyaux, la cybersécurité de vos serveurs reste fragile. Compiler manuellement ou installer un paquet « mainline » demeure donc le chemin le plus court vers la tranquillité.

Besoin d’un pansement rapide ? Passer kernel.yama.ptrace_scope à 2 coupe l’exploitation, mais sacrifie le debugging. Autre parade : désactiver l’authentification par hôte et l’utilitaire ssh-keysign, au prix d’une complexité accrue pour les déploiements automatisés. À chacun de jauger le rapport risque-disponibilité.

Un mois rouge pour la sécurité du noyau

Quatre failles critiques en quelques semaines rappellent que la surface d’attaque grandit avec chaque nouvelle API. L’an dernier, ptrace était déjà en cause dans CVE-2025-2711 ; 2026 enfonce le clou. Les équipes OpSec feraient bien d’automatiser le suivi des dépêches ZDNET et CERT-FR, faute de quoi le prochain patch Tuesday façon Linux risque de passer sous le radar.

Prochaine étape : anticiper plutôt que réagir

Mettre à jour vite est vital, mais repenser les modèles de confiance l’est tout autant. Restreindre la portée des clé SSH d’hôte, activer les verrous SELinux ou AppArmor et surveiller le moindre changement de fingerprint limite la casse. Les menaces se déplacent ; la réponse doit évoluer au même rythme.

Source: www.zdnet.fr