🚨 CVE-2026-46331 - Linux-Kernel-COW-Fehler

Linux Kernel net/sched Partielle Copy-on-Write (COW) Page Cache Korruption

Eine Linux-Kernel-Sicherheitslücke, verursacht durch fehlerhafte Copy-on-Write (COW)-Behandlung im Traffic-Control (tc)-Paketbearbeitungs-Subsystem.

📖 Überblick

CVE-2026-46331 ist eine Sicherheitslücke im Linux-Kernel, die das net/sched Paketbearbeitungs-Subsystem (act_pedit) betrifft.

Die Schwachstelle entsteht, weil der Kernel den beschreibbaren Copy-on-Write (COW)-Bereich vor dem tatsächlichen Paketbearbeitungs-Offset berechnet. Wenn Laufzeit-Header-Offsets angewendet werden, können Speicherbereiche beschreibbar bleiben, ohne kopiert zu werden, was zu Page Cache Korruption führt.

Unter bestimmten Bedingungen kann diese Korruption zu einem mächtigen Werkzeug für lokale Privilegieneskalation (LPE) oder Kernel-Instabilität werden. :contentReference[oaicite:0]{index=0}

🔍 Technische Details

Anfällige Komponente

Linux Kernel
└── net/
    └── sched/
        └── act_pedit.c

Betroffene Funktion:

tcf_pedit_act()

Problem:

skb_ensure_writable()
        │
        ▼
Berechnet beschreibbaren Bereich nur einmal
        │
        ▼
Laufzeit-Header-Offsets ändern sich später
        │
        ▼
Speicher außerhalb des COW-Bereichs wird modifiziert
        │
        ▼
Page Cache Korruption

💥 Grundursache

Die anfällige Implementierung:

• Berechnet den beschreibbaren Bereich nur einmal.
• Verwendet tcfp_off_max_hint.
• Berücksichtigt nicht die durch typisierte Paketbearbeitungsschlüssel eingeführten Laufzeit-Offsets.
• Schreibt über den kopierten Bereich hinaus.

Dies erzeugt eine partielle Copy-on-Write-Bedingung, die Kernel-Cache-Seiten korrumpieren kann. :contentReference[oaicite:1]{index=1}

⚠️ Auswirkungen

Mögliche Konsequenzen umfassen:

• Kernel-Speicherkorruption
• Page Cache Korruption
• Systemabstürze
• Undefiniertes Kernel-Verhalten
• Potenzielle lokale Privilegieneskalation (LPE)
• Privilegierte Codeausführung unter günstigen Bedingungen :contentReference[oaicite:2]{index=2}

🎯 Angriffsvoraussetzungen

Ein Angreifer benötigt im Allgemeinen:

• Lokale Codeausführung
• Fähigkeit, Linux Traffic Control (tc) zu konfigurieren
• CAP_NET_ADMIN (direkt oder über einen unprivilegierten Benutzernamensraum, je nach Systemkonfiguration)

Im offiziellen Advisory wurde kein entfernter Angriffsvektor beschrieben. :contentReference[oaicite:3]{index=3}

📸 Demo

📦 Betroffene Komponente

Traffic Control (tc)

        │

 act_pedit

        │

 tcf_pedit_act()

        │

 skb_ensure_writable()

        │

 Partieller COW

        │

 Page Cache Korruption

🛠 Fix

Der Upstream-Kernel-Patch:

• Verschiebt skb_ensure_writable() in die innere Verarbeitungsschleife pro Schlüssel.
• Verwendet den tatsächlichen Laufzeit-Schreiboffset.
• Fügt eine Ganzzahl-Überlaufprüfung hinzu.
• Verwendet skb_cow() für negative Offsets.
• Verhindert ungültige Offset-Arithmetik (INT_MIN). :contentReference[oaicite:4]{index=4}

🛡 Schadensbegrenzung

• ✅ Auf einen gepatchten Linux-Kernel aktualisieren.
• ✅ CAP_NET_ADMIN einschränken.
• ✅ Nicht benötigte tc-Paketbearbeitungsregeln deaktivieren.
• ✅ Unprivilegierte Benutzernamensräume einschränken, wo betrieblich angemessen.
• ✅ Nach der Installation des gepatchten Kernels neu starten. :contentReference[oaicite:5]{index=5}

📊 Zusammenfassung

📚 Referenzen

• NIST National Vulnerability Database :contentReference[oaicite:6]{index=6}
• Red Hat Security Advisory :contentReference[oaicite:7]{index=7}
• Ubuntu Security Notice :contentReference[oaicite:8]{index=8}