PEdit-CoW und DirtyClone — Sicherheitsanfälligkeiten im Linux-Kernel, die den Root-Zugriff durch Änderung des Seiten-Caches ermöglichen

Informationen über zwei neue Schwachstellen im Linux-Kern wurden veröffentlicht, die es einem nicht privilegierten Benutzer ermöglichen, Root-Rechte zu erlangen, indem er Daten im Seiten-Cache überschreibt. Für beide Schwachstellen wurden funktionierende Exploits entwickelt.

• PEdit-CoW (CVE-2026-46331, Exploit 1, Exploit 2) — ein Fehler bei der Anwendung des Copy-on-Write-Mechanismus im Code zur Änderung von Paketheadern (act_pedit), der im Netzwerk-Paket-Scheduler (net/sched) verwendet wird, ermöglicht es, Daten außerhalb des zugewiesenen Puffers zu schreiben, was genutzt werden kann, um Daten im Seiten-Cache an einer gewählten Offset-Position zu überschreiben. Der Fehler tritt auf, weil die Überprüfung des zulässigen Bereichs für das Schreiben von Daten ohne Berücksichtigung der Tatsache durchgeführt wurde, dass sich der Offset für bearbeitbare Felder während der Ausführung der Operation ändern kann.

  Das Problem tritt ab dem Linux-Kernel 5.18 auf und wurde in den Versionen 7.1, 7.0.13, 6.18.36 und 6.12.94 behoben. Es wurde eine Ausnutzungsmöglichkeit des Problems in RHEL 8/9/10, Debian 11/12, openSUSE Leap 15.6, SUSE Linux 15-SP7/16.0 und Ubuntu 18.04-25.10 gemeldet (in der Version Ubuntu 26.4 ist die Erstellung von Benutzer-Namensräumen standardmäßig blockiert). Als Schutzmaßnahme wird empfohlen, das Laden des Kernelmoduls act_pedit zu blockieren (Regeln zur Traffic-Beschränkung und das Überschreiben von Headern über „tc pedit“ funktionieren dann nicht mehr).

  echo "blacklist act_pedit" > /etc/modprobe.d/blacklist-act-pedit.conf
  rmmod act_pedit
• DirtyClone (CVE-2026-43503, Exploit) — ein Weg, die Schwachstelle Dirty Frag im xfrm-ESP-Modul zu umgehen, das zur Beschleunigung von Verschlüsselungsoperationen in IPsec mit dem ESP-Protokoll (Encapsulating Security Payload) verwendet wird. Zum Klonen der skb-Struktur wird in dem neuen Exploit eine Manipulation mit der TEE-Erweiterung zu netfilter (Modul xt_TEE) verwendet, die die Klonoperation von Netzwerkpaketen durchführt.

  Die Schwachstelle wurde in den Kernel-Versionen 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 und 6.18.33 behoben. Das Problem tritt in Debian, Ubuntu, Fedora, RHEL und SUSE auf. Um die Schwachstelle zu blockieren, kann das Laden der Kernelmodule esp4 und esp6 untersagt werden.
  RHEL und SUSE. Als Workaround zur Blockierung der Sicherheitsanfälligkeit kann das Laden der Kernel-Module esp4 und esp6 untersagt werden.

Für die Ausnutzung beider Schwachstellen sind Berechtigungen von CAP_NET_ADMIN erforderlich, die ein unprivilegierter Benutzer durch die Erstellung von Benutzernamensräumen (user namespace) erhalten kann. In Ubuntu ist eine solche Operation standardmäßig untersagt, kann jedoch durch sysctl "kernel.apparmor_restrict_unprivileged_userns=0" oder AppArmor-Profile erlaubt werden. In anderen Distributionen hängt die Verfügbarkeit des Benutzernamensraums für unprivilegierte Benutzer von der Einstellung des sysctl "kernel.unprivileged_userns_clone" ab (wenn 0, dann verboten).

Die Ausnutzung der Schwachstellen besteht darin, die Programmdatei /bin/su mit dem SUID-Root-Flag auszulesen, um sie im Seiten-Cache zu behalten, und im Seiten-Cache einen Teil des Programmcodes durch Code zum Starten von /bin/sh zu ersetzen. Ein nachfolgender Start des Programms führt dazu, dass nicht die originale ausführbare Datei vom Speicher geladen wird, sondern eine veränderte Kopie aus dem Seiten-Cache.

Zusätzlich kann die Erstellung eines Exploits für die Schwachstelle CVE-2026-23111 im nf_tables-Subsystem erwähnt werden, die in den Februar-Updates des Linux-Kernels behoben wurde. Die Schwachstelle wird durch den Zugriff auf Speicher nach dessen Freigabe (use-after-free) verursacht und ermöglicht es einem unprivilegierten Benutzer, Root-Rechte im System zu erlangen. Für den Angriff muss der Benutzer auch die Möglichkeit haben, Benutzernamensräume (user namespace) zu erstellen. Die Funktionsweise des Exploits wurde in
Debian 12/13 und Ubuntu 22.04/24.04.

Quelle: opennet.ru