PEdit-CoW ja DirtyClone — Linuxi tuuma haavatavused, mis võimaldavad root õigusi saada lehe vahemälu muutmise kaudu.

Avaldati teave kahe uue haavatavuse kohta Linuxi kerneli sees, mis võimaldab mitteprivileegitud kasutajal saada root-õigusi, kirjutades andmeid lehe vahemällu. Mõlema haavatavuse jaoks on loodud töötavad eksploidid.

• PEdit-CoW (CVE-2026-46331, eksploit 1, eksploit 2) — viga copy-on-write mehhanismi rakendamisel pakettide päiste muutmise koodis (act_pedit), mida kasutatakse võrgu paketiplaanijates (net/sched), võimaldab kirjutada andmeid määratud puhverpiiridest välja, mis võib võimaldada andmete ülekirjutamist lehe vahemällu valitud offset'i kaudu. See viga tuleneb sellest, et andmete kirjutamise lubatud ala kontrollimist tehti, arvestamata, et redigeeritavate väljade offset võib operatsiooni käigus muutuda.

  Probleem ilmneb alates Linuxi tuumast 5.18 ja on kõrvaldatud väljaannetes 7.1, 7.0.13, 6.18.36 ja 6.12.94. Probleemi ära kasutamise võimalus on deklareeritud RHEL 8/9/10, Debian 11/12, openSUSE Leap 15.6, SUSE Linux 15-SP7/16.0 ja Ubuntu 18.04-25.10 jaoks (Ubuntu versioonis 26.4 on vaikimisi blokeeritud user namespace'i loomine). Kaitseks soovitatakse blokeerida moduli act_pedit laadimine (trafiku piiramise reeglid ja pealkirjade muutmine „tc pedit“ kaudu lakkavad töötamast).

  echo «blacklist act_pedit» > /etc/modprobe.d/blacklist-act-pedit.conf
  rmmod act_pedit
• DirtyClone (CVE-2026-43503, eksploit) — Dirty Frag haavatavuse ärakasutamise möödaviik xfrm-ESP moodulis, mis kiirendab krüpteerimisprotsesside teostamist IPsec-is, kasutades ESP (Encapsulating Security Payload) protokolli. Uues eksploitis kasutatakse skb struktuuri kloonimiseks TEE laienduse manipuleerimist netfilteriga (xt_TEE moodul), mis teostab võrgupakkide kloonimise operatsiooni.

  Haavatavus on kõrvaldatud Linuxi tuumaväljaannetes 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 ja 6.18.33. Probleem ilmneb Debianis, Ubuntu, Fedora,
  RHEL-is ja SUSE-s. Haavatavuse blokeerimise alternatiivina saab keelata esp4 ja esp6 tuumamoodulite laadimise.

Mõlema haavatavuse rakendamiseks on vajalikud CAP_NET_ADMIN juurdepääsuõigused, mida tavaline kasutaja võib saada kasutaja nimede ruumide (user namespace) loomise kaudu. Ubuntus on selline toiming vaikimisi keelatud, kuid selle võib lubada sysctl seadistusega "kernel.apparmor_restrict_unprivileged_userns=0" või AppArmor profiilide kaudu. Teistes distributsioonides sõltub mittepriviligeeritud kasutajate juurdepääs "user namespace" sysctl seadistusest "kernel.unprivileged_userns_clone" (kui 0, siis keelatud).

Haavatavuste rakendamine koosneb /bin/su programmi faili lugemisest, millel on root'i suid lipp, et see jääks lehekülje vahemälusse, ja osaliselt asendades lehekülje vahemälus programmi koodi neile, mis käivitavad /bin/sh. Järgmine programmi käivitamine toob kaasa selle, et mällu laaditakse mitte originaalne täitefail salvestuselt, vaid muudetud koopia lehekülje vahemälust.

Lisaks tuleb märkida, et on loodud eksploit CVE-2026-23111 haavatavuse jaoks nf_tables alamsüsteemis, mis kõrvaldatud Linuxi tuumafeebruarikuu värskendustes. Haavatavus on tingitud mälule juurdepääsust pärast selle vabastamist (use-after-free) ja võimaldab mitteprivilegeeritud kasutajal saada root õigusi süsteemis. Rünnaku jaoks peab kasutajal olema võimalus luua kasutaja identifikaatori nimesid (user namespace). Eksploiditöö on demonstreeritud
Debian 12/13 ja Ubuntu 22.04/24.04.

Allikas: opennet.ru