Suivi KEV › Linux

CVE-2025-39682 Linux Kernel : vérification incorrecte des conditions inhabituelles ou exceptionnelles

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 18 septembre 2026.

  • Produit : Linux Kernel
  • Ajoutée au catalogue : 18 septembre 2026
  • Échéance CISA : 21 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-754
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 3 %
  • Technologie : Noyau Linux

Le noyau Linux contient une vulnérabilité de vérification incorrecte des conditions inhabituelles ou exceptionnelles dans le chemin de réception TLS, qui permet à un enregistrement de longueur nulle récupéré de rx_list de contourner le traitement prévu du type d'enregistrement recvmsg(), pouvant potentiellement entraîner le traitement des enregistrements TLS suivants en utilisant des hypothèses incorrectes de copie zéro et de mise en file d'attente. Le(s) produit(s) impacté(s) pourrait(ent) être en fin de vie (EoL) et/ou en fin de service (EoS). Il est conseillé aux utilisateurs de cesser d'utiliser et/ou de passer à une version supportée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · git.kernel.org · git.kernel.org · git.kernel.org

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 3,3 %, parmi les 12 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • linux kernel : versions ≥ 6.0 et < 6.1.149
  • linux kernel : versions ≥ 6.2 et < 6.6.103
  • linux kernel : versions ≥ 6.7 et < 6.12.44
  • linux kernel : versions ≥ 6.13 et < 6.16.4
  • simatic cn 4100 firmware : versions < 5.0
  • linux kernel : 2 versions, de 6.17-rc1 à 6.17-rc2
  • debian linux : version 11.0

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Vérification insuffisante des conditions anormales (CWE-754) : Le produit ne vérifie pas ou vérifie incorrectement les conditions inhabituelles ou exceptionnelles qui ne sont pas censées se produire fréquemment lors du fonctionnement quotidien du produit.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Linux Kernel Improper Check for Unusual or Exceptional Conditions Vulnerability

Linux Kernel contains an improper check for unusual or exceptional conditions vulnerability in the TLS receive path which allows a zero-length record retrieved from the rx_list to bypass the intended recvmsg() record-type handling, potentially causing subsequent TLS records to be processed using incorrect zero-copy and queuing assumptions. The impacted product(s) could be end-of-life (EoL) and/or end-of-service (EoS). Users are advised to discontinue use and/or transition to a supported version.

Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Autres failles exploitées de Linux Kernel

  • CVE-2026-46300 — Linux Kernel : absence d'initialisation d'une variable (28 octobre 2026)
  • CVE-2026-53266 — Linux Kernel : vulnérabilité d'écriture hors limites (18 septembre 2026)
  • CVE-2025-39964 — Linux Kernel : vulnérabilité de condition de concurrence (18 septembre 2026)
  • CVE-2026-53362 — Linux Kernel : vulnérabilité non spécifiée (27 août 2026)
  • CVE-2022-0995 — Linux Kernel : vulnérabilité d'écriture hors limites (26 août 2026)
  • CVE-2022-0492 — Linux Kernel : vulnérabilité d'authentification incorrecte (2 juin 2026)
  • CVE-2026-31431 — Linux Kernel : vulnérabilité de transfert de ressources incorrect entre sphères (1 mai 2026)
  • CVE-2018-14634 — Linux Kernel : vulnérabilité de débordement d'entier (26 janvier 2026)
  • CVE-2021-22555 — Linux Kernel : vulnérabilité d'écriture hors limites dans le tas (6 octobre 2025)
  • CVE-2025-38352 — Linux Kernel : vulnérabilité de condition de concurrence TOCTOU (4 septembre 2025)

← Toutes les failles Linux · Suivi KEV