g0thamrabb1t/cve-2026-46331-pedit-cow-detectionValidación defensiva de CVE-2026-46331 / pedit COW con auditd, AppArmor, comparación de mitigaciones y lógica de detección.
Informe de validación defensiva para CVE-2026-46331, centrado en el kernel de Linux
act_pedit, comportamiento de escalación local de privilegios, telemetría de auditd, mitigación con AppArmor y lógica de detección.
Este repositorio contiene informes de validación defensiva para CVE-2026-46331 / pedit COW, una vulnerabilidad de escalación local de privilegios del kernel de Linux relacionada con net/sched/act_pedit.
El trabajo documenta una validación controlada en un laboratorio en Ubuntu, incluyendo:
kernel.apparmor_restrict_unprivileged_unconfined=1.Este repositorio no proporciona código de explotación. Su propósito es el análisis defensivo, la ingeniería de detección, la validación de vulnerabilidades y la generación de informes.
Los informes están disponibles en el directorio /reports:
| Idioma | Archivo |
|---|---|
| Inglés | CVE-2026-46331_pedit_COW_auditd_EN.pdf |
| Polaco | CVE-2026-46331_pedit_COW_auditd_PL.pdf |
El informe documenta si el host Ubuntu probado cumplía las condiciones necesarias para la ruta de escalación local de privilegios, incluyendo:
act_pedit,aa-exec y ejecución de procesos como root.El laboratorio también compara el comportamiento del sistema antes y después de habilitar:
kernel.apparmor_restrict_unprivileged_unconfined=1
El valor principal de este repositorio es la validación orientada a la detección. El informe se centra en la correlación de múltiples fuentes de telemetría en lugar de un único indicador.
Secuencia de comportamiento de alta confianza:
unprivileged user
-> namespace creation
-> netlink socket usage
-> aa-exec / AppArmor profile transition
-> root_exec with euid=0
Claves e indicadores útiles de auditd:
ns_create
netlink_socket
apparmor_bypass_path
root_exec
tc action pedit offset out of bounds
AppArmor DENIED sys_admin/net_admin
Los informes también incluyen lógica de detección de ejemplo para auditd, Splunk SPL, XQL, el registro del kernel y eventos de AppArmor.
Estructura actual:
.
├── README.md
└── reports/
├── CVE-2026-46331_pedit_COW_auditd_EN.pdf
└── CVE-2026-46331_pedit_COW_auditd_PL.pdf
Esto es suficiente para el alcance actual. Si más adelante se extraen reglas de detección en archivos independientes, se puede agregar un directorio opcional /detections:
detections/
├── auditd.rules
├── splunk.spl
└── xql.xql
Este material puede ser útil para:
El material está destinado a la validación controlada, el desarrollo de detección defensiva y la evaluación de mitigaciones. No debe utilizarse para atacar sistemas sin autorización explícita.
La mitigación probada redujo el impacto práctico de la ruta de explotación probada, pero las mitigaciones de configuración no deben tratarse como un sustituto de una actualización del kernel. El enfoque recomendado es parchear el kernel y mantener un endurecimiento adicional donde sea operativamente posible.