CVE-2026-43091

Description

In the Linux kernel, the following vulnerability has been resolved: xfrm: Wait for RCU readers during policy netns exit xfrm_policy_fini() frees the policy_bydst hash tables after flushing the policy work items and deleting all policies, but it does not wait for concurrent RCU readers to leave their read-side critical sections first. The policy_bydst tables are published via rcu_assign_pointer() and are looked up through rcu_dereference_check(), so netns teardown must also wait for an RCU grace period before freeing the table memory. Fix this by adding synchronize_rcu() before freeing the policy hash tables.

Gravité et risque d'exploitation

CVE-2026-43091 obtient un score CVSS de 7.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.18 %, ce qui la place devant 6.6 % des CVE référencées.

Que faire ?

• Vérifiez si Linux (versions <33a3149dd81a1e2f52b80ee1e0fc380b39f3d028, <=6.12.*, <069daad4f2ae9c5c108131995529d5f02392c446, <b66920a3348c0f63ba18365248fa21fbf0b3a937, 0, 6.12.83, 7.0, <3733fce2871c9bca9dd18a1a23b1432ea215a094, <=6.6.*, <=6.19.*, 6.6.136, <4.9, <=6.18.*, e1e551bc56302b80ff930c966f9985095fb1b70d, <=*, 4.9, <438b1f668ad58f46ce699bb48e4698a7839e3f9e, 6.19.14, 6.18.24) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://git.kernel.org/stable/c/b66920a3348c0f63ba18365248fa21fbf0b3a937
• https://git.kernel.org/stable/c/438b1f668ad58f46ce699bb48e4698a7839e3f9e
• https://git.kernel.org/stable/c/3733fce2871c9bca9dd18a1a23b1432ea215a094
• https://git.kernel.org/stable/c/33a3149dd81a1e2f52b80ee1e0fc380b39f3d028
• https://git.kernel.org/stable/c/069daad4f2ae9c5c108131995529d5f02392c446