PEdit-CoW et DirtyClone — des vulnérabilités dans le noyau Linux permettant d'obtenir un accès root en modifiant le cache de pages

Des informations sur deux nouvelles vulnérabilités dans le noyau Linux ont été révélées, permettant à un utilisateur non privilégié d'obtenir des droits root en écrivant des données dans le cache de la page. Des exploits fonctionnels ont été préparés pour les deux vulnérabilités.

• PEdit-CoW (CVE-2026-46331, exploit 1, exploit 2) — une erreur dans l'application du mécanisme de copy-on-write dans le code de modification des en-têtes de paquets (act_pedit), utilisé dans le planificateur de paquets réseau (net/sched), permet d'écrire des données en dehors du tampon alloué, ce qui peut être utilisé pour écraser des données dans le cache de la page à un décalage choisi. L'erreur est due au fait que la vérification de la zone autorisée pour l'écriture des données a été effectuée sans tenir compte du fait que le décalage vers les champs modifiables peut changer pendant l'exécution de l'opération.

  Le problème apparaît à partir du noyau Linux 5.18 et a été corrigé dans les versions 7.1, 7.0.13, 6.18.36 et 6.12.94. Il a été signalé que la vulnérabilité peut être exploitée dans RHEL 8/9/10, Debian 11/12, openSUSE Leap 15.6, SUSE Linux 15-SP7/16.0 et Ubuntu 18.04-25.10 (dans la version Ubuntu 26.4, la création de l'espace utilisateur est par défaut bloquée). Comme solution de contournement, il est recommandé de bloquer le chargement du module noyau act_pedit (les règles de limitation de trafic et la réécriture des en-têtes via « tc pedit » ne fonctionneront plus).

  echo «blacklist act_pedit» > /etc/modprobe.d/blacklist-act-pedit.conf
  rmmod act_pedit
• DirtyClone (CVE-2026-43503, exploit) — un moyen d'exploiter la vulnérabilité Dirty Frag dans le module xfrm-ESP utilisé pour accélérer les opérations de chiffrement dans IPsec avec le protocole ESP (Encapsulating Security Payload). Pour cloner la structure skb dans un nouvel exploit, une manipulation avec l'extension TEE du netfilter (module xt_TEE) est utilisée, effectuant l'opération de clonage des paquets réseau.

  La vulnérabilité a été corrigée dans les versions du noyau Linux 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 et 6.18.33. Le problème se manifeste dans Debian, Ubuntu, Fedora,
  RHEL et SUSE. Comme solution de contournement pour bloquer la vulnérabilité, il est possible d'interdire le chargement des modules noyau esp4 et esp6.

Pour exploiter les deux vulnérabilités, des droits d'accès CAP_NET_ADMIN sont requis, que l'utilisateur non privilégié peut obtenir en créant des espaces de noms d'identifiants utilisateur (user namespace). Dans Ubuntu, cette opération est par défaut interdite, mais peut être autorisée via le sysctl « kernel.apparmor_restrict_unprivileged_userns=0 » ou les profils AppArmor. Dans d'autres distributions, l'accès au « user namespace » pour les utilisateurs non privilégiés dépend du réglage du sysctl « kernel.unprivileged_userns_clone » (si c'est 0, alors c'est interdit).

L'exploitation des vulnérabilités consiste à lire le fichier du programme /bin/su avec le flag suid root, pour le placer dans le cache de pages, puis à remplacer dans le cache de pages une partie du code du programme par du code pour exécuter /bin/sh. Le lancement ultérieur du programme entraînera le chargement en mémoire non pas du fichier exécutable original depuis le support, mais d'une copie modifiée depuis le cache de pages.

On peut également noter la création d'un exploit pour la vulnérabilité CVE-2026-23111 dans le sous-système nf_tables, corrigée dans les mises à jour de février du noyau Linux. La vulnérabilité est causée par un accès à la mémoire après sa libération (use-after-free) et permet à un utilisateur non privilégié d'obtenir des droits root dans le système. Pour l'attaque, l'utilisateur doit également avoir la capacité de créer des espaces de noms d'identifiants utilisateur (user namespace). Le fonctionnement de l'exploit a été démontré dans
Debian 12/13 et Ubuntu 22.04/24.04.

Source : opennet.ru