Ny information om to nye sårbarheder i Linux-kernen er blevet afsløret, som gør det muligt for en ikke-privilegeret bruger at opnå root-rettigheder ved at overskrive data i sidecachen. Der er udviklet fungerende exploits til begge sårbarheder.
- PEdit-CoW (CVE-2026-46331, exploit 1, exploit 2) — en fejl i brugen af copy-on-write mekanismen i koden til ændring af pakkens overskrifter (act_pedit), der bruges i netværkspakkescheduler (net/sched), muliggør skrivning af data uden for den tildelte buffer, hvilket kan bruges til at overskrive data i sidecachen ved valgt offset. Fejlen opstår, fordi den gyldige zone for skrivning af data blev kontrolleret uden at tage højde for, at offset til redigerbare felter kan ændre sig under udførelsen af operationen.
Problemet forekommer fra Linux-kernen 5.18 og er blevet løst i versionerne 7.1, 7.0.13, 6.18.36 og 6.12.94. Der er meldt risiko for udnyttelse af problemet i RHEL 8/9/10, Debian 11/12, openSUSE Leap 15.6, SUSE Linux 15-SP7/16.0 og Ubuntu 18.04-25.10 (i Ubuntu-version 26.4 er oprettelse af user namespace som standard blokeret). Som en midlertidig beskyttelsesforanstaltning anbefales det at blokere indlæsningen af kernelmodulet act_pedit (trafikbegrænsningsregler og overskrivning af overskrifter via "tc pedit" vil stoppe med at fungere).
echo "blacklist act_pedit" > /etc/modprobe.d/blacklist-act-pedit.conf
rmmod act_pedit - DirtyClone (CVE-2026-43503, exploit) — en omgåelse af sårbarheden Dirty Frag i xfrm-ESP modulet, der anvendes til at accelerere kryptografiske operationer i IPsec ved hjælp af ESP-protokollen (Encapsulating Security Payload). Til kloning af skb-strukturen i det nye exploit anvendes manipulation med TEE-udvidelsen til netfilter (modulet xt_TEE), som udfører kloning af netværkspakker.
Sårbarheden er blevet løst i versionerne af Linux-kernen 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 og 6.18.33. Problemet ses i Debian, Ubuntu, Fedora,
RHEL og SUSE. Som en midlertidig løsning til at blokere sårbarheden kan indlæsning af kernelmodulerne esp4 og esp6 forhindres.
For exploiting both vulnerabilities, CAP_NET_ADMIN access rights are required, which an unprivileged user can obtain by creating user namespaces. In Ubuntu, this operation is disabled by default but can be enabled through sysctl "kernel.apparmor_restrict_unprivileged_userns=0" or AppArmor profiles. In other distributions, the availability of user namespaces for unprivileged users depends on setting sysctl "kernel.unprivileged_userns_clone" (if 0, it is forbidden).
Exploiting the vulnerabilities consists of reading the program file /bin/su with the suid root flag, for it to reside in the page cache, and replacing part of the program's code in the page cache with code to run /bin/sh. Subsequent execution of the program will load the modified copy from the page cache into memory instead of the original executable file from storage.
Additionally, it is worth noting the creation of an exploit for the CVE-2026-23111 vulnerability in the nf_tables subsystem, which was fixed in the February updates of the Linux kernel. The vulnerability is caused by accessing memory after it has been freed (use-after-free) and allows an unprivileged user to gain root rights in the system. For the attack, the user must also be able to create user namespaces. The exploit's operation has been demonstrated in
Debian 12/13 and Ubuntu 22.04/24.04.
Kilde: opennet.ru
