Bricksforge : une faille de gravité maximale déjà exploitée permet d’exécuter du code PHP sans s’authentifier

Technique · Atelier

Quand le compilateur a le droit de tout faire : comprendre le comportement indéfini en C

Au Kernel Recipes 2026, Martin Uecker (université, logiciels libres pour l’IRM) a expliqué pourquoi le « comportement indéfini » (undefined behavior, UB) du langage C pose problème aux développeurs du noyau et d’ailleurs — et comment la norme C2y en retire déjà une grande partie. Atelier pédagogique.

1. Le problème : « aucune exigence ». Depuis C89, la norme décrit le langage via une machine abstraite. Seul le comportement « observable » (accès aux objets volatile, entrées-sorties, etc.) doit être respecté. Si un programme fait quelque chose que la norme ne définit pas — division par zéro, débordement d’entier signé, accès hors bornes — l’implémentation « n’impose aucune exigence ». Le compilateur peut alors ignorer la branche fautive, supprimer des tests, voire réordonner du code autour de l’erreur. Les programmeurs parlent parfois de « démons nasaux » : tout devient possible une fois l’UB présent.

2. Un exemple concret : la division par zéro. Uecker a repris un cas classique : une fonction écrit x = b ? 42 : 43 puis renvoie a/b. Si b vaut zéro, la division est de l’UB. Certains compilateurs en ont déduit qu’ils pouvaient omettre le test et écrire toujours 42 dans x, puisque le cas b == 0 n’a « pas de sémantique attendue ». Remplacez l’écriture par un appel à une fonction g() qui peut appeler exit() lorsque b est nul : le compilateur n’a plus le droit d’éliminer le test, car la division peut ne jamais s’exécuter. C23 a aussi ajouté une règle « pas de voyage dans le temps » pour empêcher de remonter une division dangereuse avant une écriture volatile qui aurait dû la précéder.

3. Ce que la norme retire déjà. Le comité C anime des groupes sur le modèle mémoire, la sûreté mémoire et l’UB. Sur environ 100 cas d’UB recensés, le brouillon C2y en a déjà retiré 45, selon le compte rendu LWN de la conférence. C23 avait déjà éliminé des scories historiques (définitions de fonctions à l’ancienne style K&R, machines en complément à un, trigraphes) et ajouté des entiers à précision en bits ainsi que des opérations entières contrôlées. C2y doit encore ajouter des plages dans les case, des boucles for nommées, la macro _Countof() pour la longueur des tableaux, et poursuivre ce « retrait de démons ».

4. Ce que ça change pour le développeur. On n’attend pas la mémoire sûreté totale du Rust : Uecker distingue sûreté de type, sûreté spatiale (bornes) et sûreté temporelle (use-after-free), cette dernière restant la plus difficile. En pratique : activer les avertissements modernes (débordements, use-after-free potentiels), les analyseurs intégrés à GCC/Clang, les sanitizers en mode piège pour le durcissement, et les annotations comme counted_by pour les tableaux flexibles. Pour le noyau comme pour un démon réseau, l’UB n’est plus une curiosité de langage : c’est une permission donnée au compilateur de casser des invariants que le programmeur croyait acquis.

Sources : LWN.net, « Reducing undefined behavior in the C language », 28.09.2026 · LWN.net, édition hebdomadaire du 1er octobre 2026 — atelier pédagogique