{"id":182332,"date":"2026-06-27T08:48:07","date_gmt":"2026-06-27T06:48:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pedit-cow-i-dirtyclone-uyazvimosti-v-yadre-linux-pozvolyayushhie-poluchit-root-cherez-izmenenie-stranichnogo-kesha"},"modified":"2026-06-27T08:48:07","modified_gmt":"2026-06-27T06:48:07","slug":"pedit-cow-i-dirtyclone-uyazvimosti-v-yadre-linux-pozvolyayushhie-poluchit-root-cherez-izmenenie-stranichnogo-kesha","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/pedit-cow-i-dirtyclone-uyazvimosti-v-yadre-linux-pozvolyayushhie-poluchit-root-cherez-izmenenie-stranichnogo-kesha","title":{"rendered":"PEdit-CoW und DirtyClone \u2014 Sicherheitsanf\u00e4lligkeiten im Linux-Kernel, die den Root-Zugriff durch \u00c4nderung des Seiten-Caches erm\u00f6glichen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Informationen \u00fcber zwei neue Schwachstellen im Linux-Kern wurden ver\u00f6ffentlicht, die es einem nicht privilegierten Benutzer erm\u00f6glichen, Root-Rechte zu erlangen, indem er Daten im Seiten-Cache \u00fcberschreibt. F\u00fcr beide Schwachstellen wurden funktionierende Exploits entwickelt.<\/p>\n
\n
PEdit-CoW (CVE-2026-46331, Exploit 1, Exploit 2) \u2013 ein Fehler bei der Anwendung des Copy-on-Write-Mechanismus im Code zur \u00c4nderung von Paket-Headern (act_pedit), der im Netzwerk-Paket-Scheduler (net\/sched) verwendet wird. Dieser Fehler erm\u00f6glicht das Schreiben von Daten au\u00dferhalb des zugewiesenen Puffers, was zur \u00dcberschreibung von Daten im Seiten-Cache an einer gew\u00e4hlten Offset-Position verwendet werden kann. Der Fehler entsteht, weil die \u00dcberpr\u00fcfung des zul\u00e4ssigen Bereichs f\u00fcr das Schreiben von Daten ohne Ber\u00fccksichtigung der Tatsache durchgef\u00fchrt wurde, dass sich der Offset zu den bearbeitbaren Feldern w\u00e4hrend der Ausf\u00fchrung der Operation \u00e4ndern kann.\n
Das Problem tritt ab dem Linux-Kernel 5.18 auf und wurde in den Versionen 7.1, 7.0.13, 6.18.36 und 6.12.94 behoben. Eine Ausnutzung des Problems wurde in RHEL 8\/9\/10, Debian 11\/12, openSUSE Leap 15.6, SUSE Linux 15-SP7\/16.0 und Ubuntu 18.04-25.10 gemeldet (in Ubuntu 26.4 ist die Erstellung von Benutzer-Namensr\u00e4umen standardm\u00e4\u00dfig blockiert). Als Umgehungsl\u00f6sung wird empfohlen, das Laden des Kernel-Moduls act_pedit zu blockieren (Regeln zur Einschr\u00e4nkung des Verkehrs und die \u00dcberschreibung von Headern \u00fcber \u201etc pedit\u201c funktionieren dann nicht mehr).<\/p>\n
DirtyClone (CVE-2026-43503, Exploit) \u2013 eine Umgehung zur Ausnutzung der Dirty Frag-Schwachstelle im xfrm-ESP-Modul, das zur Beschleunigung von Verschl\u00fcsselungsoperationen in IPsec mit dem ESP-Protokoll (Encapsulating Security Payload) verwendet wird. Zur Klonung der skb-Struktur wird in dem neuen Exploit eine Manipulation mit der TEE-Erweiterung zu Netfilter (Modul xt_TEE) verwendet, die die Klonoperation von Netzwerkpaketen ausf\u00fchrt.\n
Die Schwachstelle wurde in den Kernel-Versionen 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 und 6.18.33 behoben. Das Problem tritt in Debian, Ubuntu, Fedora, RHEL und SUSE auf. Um die Schwachstelle zu blockieren, kann das Laden der Kernelmodule esp4 und esp6 untersagt werden. \nRHEL und SUSE. Als Workaround zur Blockierung der Sicherheitsanf\u00e4lligkeit kann das Laden der Kernel-Module esp4 und esp6 untersagt werden.<\/p>\n<\/ul>\n
Um beide Schwachstellen auszunutzen, sind CAP_NET_ADMIN-Berechtigungen erforderlich, die ein nicht privilegierter Benutzer durch die Erstellung von Benutzer-Namensr\u00e4umen (User Namespace) erhalten kann. In Ubuntu ist eine solche Operation standardm\u00e4\u00dfig verboten, kann aber \u00fcber sysctl 'kernel.apparmor_restrict_unprivileged_userns=0' oder AppArmor-Profile erlaubt werden. In anderen Distributionen h\u00e4ngt die Verf\u00fcgbarkeit des 'User Namespace' f\u00fcr nicht privilegierte Benutzer von der Einstellung des sysctl 'kernel.unprivileged_userns_clone' ab (wenn 0, ist es verboten). <\/p>\n
Die Ausnutzung der Schwachstellen besteht darin, die Programmdatei \/bin\/su mit dem SUID-Root-Flag auszulesen, um sie im Seiten-Cache zu behalten, und im Seiten-Cache einen Teil des Programmcodes durch Code zum Starten von \/bin\/sh zu ersetzen. Ein nachfolgender Start des Programms f\u00fchrt dazu, dass nicht die originale ausf\u00fchrbare Datei vom Speicher geladen wird, sondern eine ver\u00e4nderte Kopie aus dem Seiten-Cache. <\/p>\n
Zus\u00e4tzlich kann die Erstellung eines Exploits f\u00fcr die Schwachstelle CVE-2026-23111 im nf_tables-Subsystem erw\u00e4hnt werden, die in den Februar-Updates des Linux-Kernels behoben wurde. Die Schwachstelle wird durch den Zugriff auf Speicher nach dessen Freigabe (use-after-free) verursacht und erm\u00f6glicht es einem unprivilegierten Benutzer, Root-Rechte im System zu erlangen. F\u00fcr den Angriff muss der Benutzer auch die M\u00f6glichkeit haben, Benutzernamensr\u00e4ume (user namespace) zu erstellen. Die Funktionsweise des Exploits wurde in \nDebian 12\/13 und Ubuntu 22.04\/24.04. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"