CVE-2026-46331: pedit COW, a falha que permite a usuários locais escalar o root em Linux

Em 16 de junho, foi atribuída a vulnerabilidade CVE-2026-46331 — apoiada "pedit COW" — que permite a um usuário local não privilegiado escalar o root em kernels Linux vulneráveis através de uma escrita fora de limites na ação de edição de pacotes (act_pedit) do subsistema de controle de tráfego. Em poucas palavras, o kernel pretende aplicar um padrão copy-on-write, mas calcula mal a área privada a modificar, o que faz com que a escrita altere uma página compartilhada do page cache em vez de uma cópia privada; se essa página contém a imagem em memória de um binário setuid (por exemplo, /bin/su), o exploit pode injetar código na cópia em memória e executar um root shell sem tocar o disco ou deixar vestígios nos cheques de integridade de arquivos.

O vetor que converte o bug em exploração realista Não é apenas a corrupção do page cache, mas a possibilidade de usuários sem privilégios configurem regras de tc desde um user namespace não privilegiado. Essa capacidade lhes confere uma capacidade local de rede (CAP_NET_ADMIN) dentro do namespace e é exatamente o que precisa do exploit para ativar act_pedit. O resultado é uma cadeia de exploração que afeta especialmente ambientes multiutilizados ou partilhados: nodos Kubernetes, runners da CI/CD, máquinas de laboratório, ambientes de pesquisa e servidores com múltiplas contas.

O padrão de vulnerabilidade lembra falhas anteriores como Dirty Pipe e outros que escreviam em páginas que não eram de sua propriedade exclusiva, mas o novo aqui é a via de entrada para usuários não privilegiados. Segundo relatos públicos, o PoC funcional apareceu às 24 horas da alocação do CVE e foi testado em RHEL e Debian onde os user namespaces não privilegiados estão abertos por defeito; Ubuntu mostrou diferenças segundo o manejo do AppArmor em cada versão. Para detalhes técnicos e seguimento oficial consulte a ficha do CVE na NVD e o rastreador do Debian: NVD - CVE-2026-46331 e Debian Security Tracker - CVE-2026-46331.

Acção imediata recomendada: instale o 'kernel' e reinicie o mais rapidamente possível. Este é o único arranjo definitivo: o fix corrige a lógica de cópia e evita a corrupção do page cache. Priorize atualizações em hosts onde "usuário local" seja potencialmente malicioso ou não totalmente confiável: ambientes multiinquilino, nodos de contêineres, runners de CI, máquinas compartilhadas e estações que executam trabalhos de terceiros.

Se não for possível corrigir imediatamente, há atenuações eficazes que cortam a cadeia do exploit. A primeira é impedir que act_pedit esteja disponível como módulo: verifique com o lsmod | grep act_pedit se o módulo está carregado e, se não for necessário, bloqueelo criando um ficheiro em /etc/modprobe.d/, por exemplo, echo "install act_pedit /bin/false" > /etc/modprobe.d/disable- act_pedit.conf; se o módulo já estiver carregado tente rmmod act_pedit (pode falhar se estiver em uso). A segunda é desativar os user namespaces não privilegiados que outorgam a CAP_NET_ADMIN local: em RHEL use sysctl -w user.max_user_namespaces=0 e no Debian/Ubuntu sysctl -w kernel.unprivileged_userns_clone=0. Experimente antes, porque isso quebra rootless containers, alguns sandboxes de CI e navegadores sandboxeados.

Não confie em cheques de integridade de arquivos como único teste forense: o exploit altera a cópia em memória do arquivo no page cache sem modificar o disco, por isso somas SHA ou ferramentas tipo AIDE podem voltar "limpias" as imagens, embora exista um root shell já aberto. Vaciar o page cache com echo 3 > /proc/sys/vm/drop_caches irá remover a cópia em memória envenenada, mas não reverte nem elimina sessões de root já estabelecidas; se suspeitar de compromisso, trate o host como comprometido: isolelo da rede, coleta memória e artefatos para análise forense e planifique uma reinstalação ou restauração a partir de backups confiáveis.

Para além de corrigir e aplicar mitigações, verifique configurações e detecções: verifique módulos com lsmod, audite a presença de user namespaces permitidos, ultrapasse o aparecimento de shells com permissões invulgares e procure processos inesperados que tenham sido iniciados pouco depois da última atualização do kernel. Note que a correção apareceu na lista pública netdev semanas antes da atribuição do CVE, pelo que esperar por regras de scanner ou assinaturas pode ser demasiado lento; em falhas de corrupção do page cache convém priorizar a resposta baseada na compreensão do vetor e na aplicação de mitigações até que o adesivo seja aplicado.

Para manter-se informado sobre a evolução e adesivos por distribuidor, consulte os canais oficiais do seu fornecedor e as páginas de segurança: além do registro NVD e do rastreador Debian, os avisos da Red Hat e Ubuntu publicam instruções específicas por versão e packaging. Actúe já: não é uma vulnerabilidade teórica, há um PoC público e a exploração não deixa a pegada tradicional em disco.