CVE-2026-46331: COW bestellen, der Fehler, der es lokalen Benutzern ermöglicht, in Linux zu root zu klettern

Am 16. Juni wurde die Sicherheitslücke CVE-2026-46331 - nicknamed "Pit COW" - zugewiesen, die es einem unprivilegierten lokalen Benutzer ermöglicht, in Kernel Vulnerable Linux mit Off-Limits, die im Akt schreiben _ Pedit des Verkehrssteuerungs-Subsystems zu root zu klettern. Kurz gesagt, der Kernel zielt darauf ab, ein Copy-on-write-Muster anzuwenden, aber den zu ändernden privaten Bereich missbraucht, was das Schreiben dazu führt, eine gemeinsame Seite der Cache-Seite anstelle einer privaten Kopie zu ändern; enthält diese Seite das Speicherbild einer setuid binären (z.B. / bin / su), kann die Explosion Code in die Speicherkopie einwerfen und eine Root-Shell ausführen, ohne die Festplatte zu berühren oder Abdrucke auf den Festplatten auf den Blättern zu hinterlassen.

Der Vektor, der den Bug in eine realistische Ausbeutung verwandelt Es ist nicht nur die Korruption der Cache-Seite, sondern die Möglichkeit, dass unprivilegierte Benutzer tc-Regeln aus einem nichtprivilegierten Benutzernamenspace einrichten. Diese Kapazität gibt ihnen eine lokale Netzwerk-Kapazität (CAP _ NET _ ADMIN) innerhalb des Namensraums und es ist genau das, was die Explosion zum Aktivieren von act _ pedit benötigt. Das Ergebnis ist eine Kette von Operationen, die sich insbesondere auf Multi-User oder gemeinsame Umgebungen auswirkt: Kubernetes Nodes, CI / CD-Läufer, Labormaschinen, Forschungsumgebungen und Multiple-Account-Server.

Das Verwundbarkeitsmuster erinnert an frühere Fehler wie Dirty Pipe und andere, die auf Seiten schrieben, die nicht ihr exklusives Eigentum waren, aber das neue hier ist der Weg für unprivilegierte Benutzer. Laut öffentlichen Berichten erschien die funktionale PoC 24 Stunden nach der CVE-Zuweisung und wurde in RHEL und Debian getestet, wo unprivilegierte Namespaces standardmäßig geöffnet werden; Ubuntu zeigte Unterschiede gemäß der Verwaltung von AppArmor in jeder Version. Für technische Details und offizielles Follow-up sehen Sie die Registerkarte CVE auf der NVD und dem Debian Tracker: NVD - CVE-2026-46331 und Debian Security Tracker - CVE-2026-46331.

Empfohlene Sofortmaßnahmen: installieren Sie den gepatchte Kernel und starten Sie so schnell wie möglich. Dies ist die einzige endgültige Anordnung: die Fixierung korrigiert die Kopierlogik und verhindert die Korruption der Cache-Seite. Priorisieren Sie Updates in Hosts, in denen "lokaler Benutzer" möglicherweise schädlich oder nicht vollständig zuverlässig ist: Multi-tenant Umgebungen, Containerknoten, CI-Läufer, gemeinsame Maschinen und Stationen, die Drittarbeit durchführen.

Wenn Sie nicht sofort parken können, gibt es effektive Minderungen, die die Kette der Explosion schneiden. Die erste ist zu verhindern, dass Act _ pedit als Modul zur Verfügung steht: überprüfen Sie mit lsmod ¥124; grep act _ pedit wenn das Modul geladen ist und, wenn Sie es nicht brauchen, blockieren Sie es durch Erstellen einer Datei in / etc / modson.d /, zum Beispiel "install act _ pedit / bin / false" > / etc / modsonde.d / disable-act _ pedit ist geladen; Die zweite ist, die unprivilegierten Benutzernamenbereiche zu deaktivieren, die die lokale CAP _ NET _ ADMIN gewähren: in RHEL verwenden sysctl -w user.max _ user _ namespaces = 0 und in Debian / Ubuntu sysctl -w kernel .unprivileged _ userns _ clone = 0. Versuchen Sie es vorher, weil dies wurzellose Behälter, einige CI Sandboxen und sandboxed Browser.

Vertrauen Sie nicht die Integrität der Datei als die einzige forensische Beweise: die Explosion ändert die Speicherkopie der Datei auf der Cache-Seite, ohne die Festplatte zu ändern, so addieren SHA oder AIDE-Tools können die Bilder "rein" auch wenn es eine bereits offene Wurzelschale gibt. Leeren Sie die Seite Cache mit Echo 3 > / proc / sys / vm / drop _ Caches wird die Kopie in vergifteten Speicher entfernen, aber die etablierten Root-Sitzungen nicht umkehren oder löschen; wenn Sie das Engagement vermuten, behandeln Sie den Host als engagiert: Netzwerkisolation, sammeln Sie Speicher und forensische Analysegeräte und planen Sie eine Neuinstallation oder Restaurierung von zuverlässigen Backups.

Zusätzlich zum Patchen und Anwenden von Minderungen, Kontrollkonfigurationen und Erkennungen: Prüfen Sie Module mit lsmod, prüfen Sie die Anwesenheit von erlaubten Benutzernamenspaces, überwachen Sie das Aussehen von Shells mit ungewöhnlichen Berechtigungen und suchen Sie nach unerwarteten Prozessen, die kurz nach dem letzten Kernel-Update gestartet wurden. Beachten Sie, dass die Korrektur auf der öffentlichen Liste Nettodev Wochen vor der Zuordnung der CVE erschien, so Warten auf Scannerregeln oder Signaturen kann zu langsam sein; bei Korruptionsversagen des Seitencaches ist es angebracht, die Antwort basierend auf dem Verständnis des Vektors und der Anwendung von Minderungen zu priorisieren, bis das Patch angewendet wird.

Um über die Evolution und Patches pro Distributor informiert zu werden, siehe die offiziellen Kanäle Ihres Lieferanten und die Sicherheitsseiten: Neben dem NVD- und Debian-Tracker veröffentlichen Red Hat und Ubuntu-Mitteilungen spezifische Anweisungen nach Version und Verpackung. Jetzt handeln: Es ist keine theoretische Verwundbarkeit, es gibt eine öffentliche PoC und Ausbeutung lässt nicht den traditionellen Druck auf der Festplatte.