Cette rubrique décrit la solution de correctif à chaud pour la vulnérabilité CVE-2026-43284 sur Alibaba Cloud Linux afin de vous permettre d'appliquer des corrections en ligne et d'effectuer un déploiement progressif en toute sécurité dans vos environnements de production.
L'application d'un correctif à chaud modifie le chemin d'exécution du noyau et peut introduire des risques de stabilité dans des environnements de production complexes. Adoptez impérativement une stratégie de déploiement par phases en appliquant le correctif par lots successifs. Ne l'appliquez pas simultanément à l'ensemble de votre environnement de production. Pendant ce déploiement progressif, surveillez attentivement la stabilité des services, les journaux d'erreurs et les métriques de performance. N'étendez la portée du déploiement qu'après avoir confirmé l'absence d'anomalies. En cas de problème, effectuez immédiatement un retour arrière.
Cette solution de correctif à chaud s'applique exclusivement au système d'exploitation Alibaba Cloud Linux.
Contexte
La vulnérabilité CVE-2026-43284 est une faille critique d'élévation de privilèges locale affectant l'implémentation du protocole IPsec Encapsulating Security Payload (ESP) dans le noyau Linux.
Cette vulnérabilité résulte de l'incapacité du noyau à valider correctement l'attribut d'écriture des pages mémoire lors du traitement de fragments de données chiffrées non alignés (Frags). Un attaquant peut exploiter des politiques IPsec et des opérations de socket spécifiques pour amener le noyau à écrire des données déchiffrées dans le cache de pages d'un fichier protégé. En contrôlant précisément l'emplacement d'écriture, il devient possible de modifier des configurations système ou des copies en mémoire de binaires privilégiés sans disposer de permissions d'écriture directe sur les fichiers. Cela permet une élévation de privilèges d'un utilisateur standard vers root. Pour plus de détails, consultez le [[Bulletin de sécurité] Avis de risque d'élévation de privilèges locale « Dirty Frag » du noyau Linux](https://www.aliyun.com/notice/118252).
Solution
Cette solution construit un module de correctif à chaud à partir du correctif officiel upstream. Elle utilise la fonctionnalité livepatch du noyau pour rediriger dynamiquement les chemins d'appel des fonctions concernées et corriger la logique de gestion des pages partagées au sein de la pile protocolaire ESP.
Le principe central de la correction consiste à remplacer le chemin vulnérable de déchiffrement sur place par un modèle sécurisé de copie sur écriture (copy-on-write). Cette approche permet une correction en ligne sans interruption de service ni redémarrage du système.
Dans certains scénarios, la solution de correctif à chaud intercepte le chemin de déchiffrement zéro copie et redirige le déchiffrement sur place vers un mode de copie mémoire. Par conséquent, pour les services IPsec à haut débit, cela peut augmenter l'utilisation du CPU et réduire le débit réseau. Surveillez donc attentivement les métriques de performance métier et la charge système. De plus, lorsque la fonction cible se trouve sur un chemin critique (hot path), le chargement automatique du correctif peut échouer, laissant le système vulnérable. Dans ce cas, chargez manuellement le correctif à chaud et vérifiez qu'il est bien activé.
Produits et versions pris en charge
|
Produit |
Version du noyau |
Architecture |
|
Alibaba Cloud Linux 3 |
5.10.134-19.3.1.al8 et antérieures |
x86_64 / aarch64 |
|
Alibaba Cloud Linux 4 |
6.6.102-5.4.1.alnx4 et antérieures |
x86_64 |
La solution de correctif à chaud n'est actuellement pas disponible pour Alibaba Cloud Linux 4 sur l'architecture aarch64. Nous vous recommandons plutôt de mettre à niveau la version du noyau.
Procédure
Étape 1 : Vérifier les prérequis
Vérifiez que la prise en charge de livepatch du noyau est activée. Elle l'est par défaut.
# Check if livepatch is enabled
test -d /sys/kernel/livepatch && echo "livepatch sysfs OK"Étape 2 : Installer le package RPM
# Check your current kernel version
uname -r
# Search for available hot patch packages
yum search kernel-hotfix-27289074
# Install the RPM package that matches your kernel version
sudo yum install kernel-hotfix-27289074-<kernel-version>En cas de changement de version du noyau, installez le package de correctif à chaud correspondant.
Étape 3 : Vérifier l'état du correctif
# Check the hot patch loading status
kpatch listRésultat attendu : la section Loaded patch modules contient kpatch_27289074 [enabled].
Retour arrière
Si vous rencontrez des problèmes, désinstallez le package pour effectuer un retour arrière :
sudo yum remove kernel-hotfix-27289074-*Pour confirmer le retour arrière :
kpatch listRésultat attendu : la sortie ne contient plus kpatch_27289074 [enabled].
FAQ
Que faire si le chargement du correctif à chaud échoue ?
Le correctif à chaud se charge généralement automatiquement lors de l'installation du package RPM et reste actif après un redémarrage du système.
Il arrive toutefois que le chargement automatique échoue, notamment lorsque la fonction cible se situe sur un chemin critique. Chargez-le alors manuellement :
kpatch load kpatch_27289074
kpatch listLe correctif à chaud est chargé avec succès lorsque la sortie inclut kpatch_27289074 [enabled].