CVE-2026-99233
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le noyau Linux contient une faille dans sa manière de gérer les histogrammes pour le traçage système. Lors de l'enregistrement ou de la suppression d'histogrammes, le noyau vérifie les noms des événements mais ne parvient pas à vérifier l'identité spécifique de l'appel d'événement. Si un événement standard partage le même nom qu'un événement synthétique, le noyau peut décrémenter incorrectement un compteur de référence, entraînant un scénario de type « use-after-free » où la mémoire est libérée alors qu'elle est encore utilisée.
Un attaquant disposant d'un accès local avec des privilèges restreints peut exploiter cette faille pour provoquer un plantage du système ou exécuter du code arbitraire avec les privilèges du noyau, compromettant ainsi totalement la confidentialité, l'intégrité et la disponibilité du système. L'attaque ne nécessite aucune interaction de l'utilisateur et est relativement facile à exécuter une fois que l'attaquant a accès à un shell sur la machine.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In the Linux kernel, the following vulnerability has been resolved: tracing/histograms: Verify event_call identity when updating synth_event refcount In event_hist_trigger_parse() and hist_unreg_all(), the histogram registration and unregistration paths look up find_synth_event() using trace_event_name(file->event_call) and adjust se->ref if a match is found. Because find_synth_event() only compares the event basename, registering or removing a histogram on a non-synthetic trace event whose basename matches a synthetic event erroneously modifies the synthetic event's reference count. If a histogram is registered on the non-synthetic event before the synthetic event is created and removed afterwards, se->ref is decremented without a matching increment, allowing the synthetic event to be freed while an active histogram action still holds a pointer to it. Introduce find_synth_event_call() to verify that &se->call matches file->event_call before adjusting se->ref.