ToolHive : chaque serveur MCP dans son propre conteneur

Technique · Atelier

Linux TCP : quand un listener devient une data race

LinuxSecurity (4.09.2026) revient sur une course use-after-free autour des sockets TCP en écoute : un connect(AF_UNSPEC) peut transformer un TCP_LISTEN pendant qu’un chemin de réception lockless le lit encore. La leçon dépasse le correctif : contrats de concurrence entre handoff RCU et transitions d’état.

Contexte. Dans le stack TCP Linux, un socket en TCP_LISTEN accepte des SYN et gère une file de connexions. Certains chemins de réception — notamment ceux optimisés pour éviter des locks lourds — lisent des champs du socket sous l’hypothèse que l’état « écoute » reste stable pendant la fenêtre de lecture. Or l’API Unix permet, via connect() avec une adresse AF_UNSPEC, de « dissocier » / réutiliser un socket d’une manière qui, côté noyau, peut faire quitter l’état listen. Si cette transition arrive pendant qu’un receive path lockless tient encore un pointeur logique vers des structures du listener, on obtient le classique use-after-free : lecture après libération, ou libération pendant lecture.

Le débat technique, tel que rapporté (dont la proposition d’Kuniyuki Iwashima datée du 3.09), oppose deux stratégies de mitigation. Première : un handoff via synchronize_net() — attendre que toutes les sections de lecture « réseau » en cours se terminent avant de détruire ou de recycler les structures. C’est correct du point de vue RCU / grace period, mais potentiellement coûteux sur des hot paths (latence, contention). Seconde : interdire purement la transition d’état dangereuse — refuser la transformation du listener tant qu’un chemin lockless peut encore le voir. Plus simple à raisonner, plus restrictive pour l’API.

Point important pour le lecteur non kernel : aucun exploit distant établi n’est documenté dans le récit LinuxSecurity. La faille est une race locale / de concurrence dans le noyau, pas une RCE « envoyer un paquet magique depuis Internet ». Cela ne la rend pas théorique : un processus local privilégié ou un scénario de conteneur partagé peut déjà être un attaquant pertinent, et les races TCP ont historiquement servi de primitive pour l’escalade.

La leçon « Atelier » pour qui écrit des services haute concurrence : un contrat d’état (« tant que je suis en LISTEN, ces champs sont immuables pour les lecteurs lockless ») doit être appliqué soit par synchronisation explicite (grace period, epoch, generation counter), soit par interdiction de transition. Documenter le contrat ne suffit pas ; le code doit le rendre impossible à violer. Les chemins lockless gagnent en perf parce qu’ils abandonnent le mutex ; ils transfèrent la dette sur le cycle de vie de l’objet. Dès qu’une API externe (connect(AF_UNSPEC), close, shutdown, reuse) peut muter l’état sous les pieds du lecteur, le modèle s’effondre. En userspace, le même motif apparaît avec hazard pointers, RCU userspace, ou « epoch-based reclamation » dans les caches concurrent maps — et la même alternative : attendre la grâce, ou refuser la mutation.

Source : LinuxSecurity, Linux TCP listening socket reuse race, 4.09.2026