Es wurden Informationen zu zwei neuen Sicherheitsanfälligkeiten im Linux-Kernel veröffentlicht, die es einem nicht privilegierten Benutzer ermöglichen, Root-Rechte zu erlangen, indem er Daten im Seiten-Cache überschreibt. Für beide Sicherheitsanfälligkeiten sind funktionierende Exploits vorbereitet.
- PEdit-CoW (CVE-2026-46331, Exploit 1, Exploit 2) — Ein Fehler bei der Anwendung des Copy-on-Write-Mechanismus im Code zur Änderung der Paket-Header (act_pedit), der im Netzwerk-Paket-Scheduler (net/sched) verwendet wird, erlaubt es, Daten außerhalb des zugewiesenen Puffers zu schreiben, was genutzt werden kann, um Daten im Seiten-Cache an der gewählten Offset-Stelle zu überschreiben. Der Fehler tritt auf, weil die Überprüfung des zulässigen Bereichs zum Schreiben von Daten ohne Berücksichtigung durchgeführt wurde, dass sich der Offset auf editierbare Felder während der Ausführung der Operation ändern kann.
Das Problem tritt ab Linux-Kernel 5.18 auf und wurde in den Versionen 7.1, 7.0.13, 6.18.36 und 6.12.94 behoben. Eine Ausnutzung des Problems wurde für RHEL 8/9/10, Debian 11/12, openSUSE Leap 15.6, SUSE Linux 15-SP7/16.0 und Ubuntu 18.04-25.10 gemeldet (in Ubuntu 26.4 ist die Erstellung von user namespaces standardmäßig blockiert). Um sich zu schützen, wird empfohlen, das Laden des Kernelmoduls act_pedit zu sperren (dies führt dazu, dass Traffic-Beschränkungsregeln und Header-Umschreibungen über „tc pedit“ nicht mehr funktionieren).
echo "blacklist act_pedit" > /etc/modprobe.d/blacklist-act-pedit.conf
rmmod act_pedit - DirtyClone (CVE-2026-43503, Exploit) — ein Workaround zur Ausnutzung der Dirty Frag-Sicherheitsanfälligkeit im xfrm-ESP-Modul, das zur Beschleunigung von Verschlüsselungsoperationen in IPsec mittels des ESP-Protokolls (Encapsulating Security Payload) verwendet wird. Für das Klonen der skb-Struktur wird im neuen Exploit das TEE-Extension-Handling zu netfilter (Modul xt_TEE) verwendet, das die Klonierung von Netzpaketen durchführt.
Die Sicherheitsanfälligkeit wurde in den Versionen des Linux-Kernels 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 und 6.18.33 behoben. Das Problem tritt bei Debian, Ubuntu, Fedora,
RHEL und SUSE auf. Als Workaround zur Blockierung der Sicherheitsanfälligkeit können die Kernelmodule esp4 und esp6 daran gehindert werden, geladen zu werden.
Um beide Schwachstellen auszunutzen, sind CAP_NET_ADMIN-Zugriffsrechte erforderlich, die ein nicht privilegierter Benutzer durch die Erstellung von Benutzer-Namensräumen (user namespace) erlangen kann. In Ubuntu ist eine solche Aktion standardmäßig verboten, kann jedoch über sysctl "kernel.apparmor_restrict_unprivileged_userns=0" oder AppArmor-Profile erlaubt werden. Bei anderen Distributionen hängt die Verfügbarkeit von "user namespace" für nicht privilegierte Benutzer von der Einstellung des sysctl "kernel.unprivileged_userns_clone" ab (wenn 0, dann ist es verboten).
Die Ausnutzung der Schwachstellen besteht darin, die Programmdatei /bin/su mit dem suid root-Flag zu lesen, damit sie im Seiten-Cache bleibt, und einen Teil des Programmcodes im Seiten-Cache durch Code zum Starten von /bin/sh zu ersetzen. Der anschließende Start des Programms führt dazu, dass nicht die originale ausführbare Datei vom Speicher geladen wird, sondern eine modifizierte Kopie aus dem Seiten-Cache.
Zusätzlich kann die Erstellung eines Exploits für die Schwachstelle CVE-2026-23111 im nf_tables-Subsystem erwähnt werden, die in den Februar-Updates des Linux-Kernels behoben wurde. Die Schwachstelle wird durch einen Zugriff auf den Speicher nach dessen Freigabe (use-after-free) verursacht und ermöglicht es einem unprivilegierten Benutzer, Root-Rechte im System zu erlangen. Für den Angriff muss der Benutzer die Möglichkeit haben, Benutzer-Namensräume (user namespace) zu erstellen. Die Funktionsweise des Exploits wurde demonstriert in
Debian 12/13 und Ubuntu 22.04/24.04.
Quelle: opennet.ru
