{"id":182332,"date":"2026-06-27T08:48:07","date_gmt":"2026-06-27T06:48:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pedit-cow-i-dirtyclone-uyazvimosti-v-yadre-linux-pozvolyayushhie-poluchit-root-cherez-izmenenie-stranichnogo-kesha"},"modified":"2026-06-27T08:48:07","modified_gmt":"2026-06-27T06:48:07","slug":"pedit-cow-i-dirtyclone-uyazvimosti-v-yadre-linux-pozvolyayushhie-poluchit-root-cherez-izmenenie-stranichnogo-kesha","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/pedit-cow-i-dirtyclone-uyazvimosti-v-yadre-linux-pozvolyayushhie-poluchit-root-cherez-izmenenie-stranichnogo-kesha","title":{"rendered":"PEdit-CoW en DirtyClone \u2014 kwetsbaarheden in de Linux-kernel die root-toegang verlenen door de paginacache te wijzigen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Informatie over twee nieuwe kwetsbaarheden in de Linux-kernel is onthuld, waardoor een onbevoegde gebruiker rootrechten kan verkrijgen door gegevens in de paginacache te overschrijven. Voor beide kwetsbaarheden zijn werkende exploits voorbereid.<\/p>\n
\n
PEdit-CoW (CVE-2026-46331, exploit 1, exploit 2) \u2014 een fout bij het toepassen van het copy-on-write mechanisme in de code voor wijziging van pakketkoppen (act_pedit), gebruikt in de netwerkpakketplanner (net\/sched), maakt het mogelijk om gegevens buiten de toegewezen buffer te schrijven, wat kan worden gebruikt om gegevens in de paginacache op een gekozen offset te overschrijven. De fout is veroorzaakt doordat de controle op de toegestane schrijfgebieden niet rekening hield met het feit dat de offset voor bewerkte velden kan veranderen tijdens de uitvoering van de operatie.\n
Het probleem doet zich voor sinds Linux-kernel 5.18 en is opgelost in versies 7.1, 7.0.13, 6.18.36 en 6.12.94. Er is een mogelijkheid tot exploitatie van het probleem gerapporteerd in RHEL 8\/9\/10, Debian 11\/12, openSUSE Leap 15.6, SUSE Linux 15-SP7\/16.0 en Ubuntu 18.04-25.10 (in versie Ubuntu 26.4 is het standaard geblokkeerd om user namespaces te cre\u00ebren). Als workaround voor bescherming wordt aanbevolen om het laden van de kernelmodule act_pedit te blokkeren (de regels voor verkeersbeperkingen en het herschrijven van koppen via \u00abtc pedit\u00bb zullen niet meer werken).<\/p>\n
DirtyClone (CVE-2026-43503, exploit) \u2014 een workaround voor het exploiteren van de kwetsbaarheid Dirty Frag in de xfrm-ESP module, toegepast voor het versnellen van versleutelingsoperaties in IPsec met het ESP (Encapsulating Security Payload) protocol. Voor het klonen van de skb-structuur in de nieuwe exploit wordt manipulatie gebruikt met de TEE-extensie naar netfilter (module xt_TEE), die de operatie voor het klonen van netwerkpakketten uitvoert.\n
De kwetsbaarheid is opgelost in de versies van de Linux-kernel 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 en 6.18.33. Het probleem doet zich voor in Debian, Ubuntu, Fedora, \nRHEL en SUSE. Als een workaround om de kwetsbaarheid te blokkeren, kunnen de kernelmodules esp4 en esp6 worden geblokkeerd.<\/p>\n<\/ul>\n
Voor het exploiteren van beide kwetsbaarheden zijn de rechten CAP_NET_ADMIN vereist, welke een niet-privilege gebruiker kan verkrijgen door user namespaces te cre\u00ebren. In Ubuntu is een dergelijke operatie standaard verboden, maar kan worden toegestaan via sysctl \u00abkernel.apparmor_restrict_unprivileged_userns=0\u00bb of AppArmor-profielen. In andere distributies hangt de beschikbaarheid van \u00abuser namespace\u00bb voor niet-privilege gebruikers af van het instellen van sysctl \u00abkernel.unprivileged_userns_clone\u00bb (als dit 0 is, is het verboden). <\/p>\n
De exploitatie van de kwetsbaarheden betreft het lezen van het programma bestand \/bin\/su met de suid root-vlag, zodat het in de paginacache wordt opgeslagen, en het vervangen van een deel van de programmecode in de paginacache door code om \/bin\/sh uit te voeren. De daaropvolgende uitvoering van het programma zorgt ervoor dat de wijzigingen in het paginacache worden geladen in plaats van het originele uitvoerbare bestand van de schijf. <\/p>\n
Daarnaast kan worden opgemerkt dat er een exploit is gemaakt voor de kwetsbaarheid CVE-2026-23111 in het nf_tables-subsysteem, opgelost in de februari-updates van de Linux-kernel. De kwetsbaarheid wordt veroorzaakt door toegang tot geheugen na vrijgave (use-after-free) en stelt een niet-geprivilegieerde gebruiker in staat om root-rechten op het systeem te verkrijgen. Voor de aanval moet de gebruiker ook de mogelijkheid hebben om gebruikersnaamruimtes (user namespace) te cre\u00ebren. De werking van de exploit is gedemonstreerd in \nDebian 12\/13 en Ubuntu 22.04\/24.04. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"