CVE-2026-23169

Description

In the Linux kernel, the following vulnerability has been resolved: mptcp: fix race in mptcp_pm_nl_flush_addrs_doit() syzbot and Eulgyu Kim reported crashes in mptcp_pm_nl_get_local_id() and/or mptcp_pm_nl_is_backup() Root cause is list_splice_init() in mptcp_pm_nl_flush_addrs_doit() which is not RCU ready. list_splice_init_rcu() can not be called here while holding pernet->lock spinlock. Many thanks to Eulgyu Kim for providing a repro and testing our patches.

Gravité et risque d'exploitation

CVE-2026-23169 obtient un score CVSS de 7.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.14 %, ce qui la place devant 3.3 % des CVE référencées.

Que faire ?

• Vérifiez si Linux (versions <5.11, <=6.1.*, <=6.12.*, 5.15.201, 6.1.164, 141694df6573b49aa4143c92556544b4b0bbda72, 0, <7896dbe990d56d5bb8097863b2645355633665eb, 5.11, <51223bdd0f60b06cfc7f25885c4d4be917adba94, <=6.6.*, <338d40bab283da2639780ee3e458fb61f1567d8c, 6.6.125, <1f1b9523527df02685dde603f20ff6e603d8e4a1, <=6.18.*, 6.12.72, <e2a9eeb69f7d4ca4cf4c70463af77664fdb6ab1d, <=*, <=5.15.*, <455e882192c9833f176f3fbbbb2f036b6c5bf555, 6.19, 6.18.9) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://git.kernel.org/stable/c/338d40bab283da2639780ee3e458fb61f1567d8c
• https://git.kernel.org/stable/c/7896dbe990d56d5bb8097863b2645355633665eb
• https://git.kernel.org/stable/c/455e882192c9833f176f3fbbbb2f036b6c5bf555
• https://git.kernel.org/stable/c/51223bdd0f60b06cfc7f25885c4d4be917adba94
• https://git.kernel.org/stable/c/1f1b9523527df02685dde603f20ff6e603d8e4a1
• https://git.kernel.org/stable/c/e2a9eeb69f7d4ca4cf4c70463af77664fdb6ab1d