cve-2026-46331-audit

Script de auditoría de solo lectura para CVE-2026-46331 (también conocido como pedit COW) — un error parcial de copia en escritura en la acción act_pedit del subsistema net/sched del kernel de Linux que permite a un usuario local no privilegiado corromper la memoria caché de páginas y escalar a root.

   ____  _____ ____ ___ _____      ____ _____        __
  |  _ \| ____|  _ \_ _|_   _|    / ___/ _ \ \      / /
  | |_) |  _| | | | | |  | |     | |  | | | \ \ /\ / /
  |  __/| |___| |_| | |  | |     | |__| |_| |\ V  V /
  |_|   |_____|____/___| |_|      \____\___/  \_/\_/
     CVE-2026-46331    net/sched act_pedit partial COW

Resumen

tcf_pedit_act() calcula el rango COW para skb_ensure_writable() una vez antes del bucle de claves, usando tcfp_off_max_hint. Las claves tipadas añaden un desplazamiento de cabecera en tiempo de ejecución que la pista no cubre, por lo que parte de la escritura final queda fuera de la región COW. Resultado: las páginas compartidas de caché de páginas se sobrescriben y un binario setuid en caché (objetivo clásico: /bin/su) puede envenenarse en memoria. Los hashes en disco permanecen limpios. Los monitores de integridad de archivos no lo detectarán.

Misma familia de errores que Dirty COW (CVE-2016-5195), Dirty Pipe (CVE-2022-0847), Copy Fail (CVE-2026-31431) y Dirty Frag (CVE-2026-46300). El punto de entrada es diferente, la falla de propiedad de páginas es la misma.

Qué hace este script

Triaje estrictamente de solo lectura. Nunca carga un módulo, nunca toca sysctl, nunca ejecuta una prueba de concepto. Diseñado para ser seguro de ejecutar en producción.

• Inventaria el kernel en ejecución, la distribución y la versión del paquete del kernel.
• Sonda la accesibilidad de act_pedit a través de cuatro señales independientes:
  • cargado actualmente (lsmod)
  • cargable bajo demanda (modinfo)
  • compilado en el kernel en ejecución (/boot/config-$(uname -r), /proc/config.gz, modules.builtin)
  • bloqueado por una lista negra o una anulación install ... /bin/true en modprobe.d
• Lista las reglas tc action pedit existentes (solo informativo; sin cambios).
• Lee los portales de espacios de nombres de usuario: user.max_user_namespaces, kernel.unprivileged_userns_clone y las restricciones de AppArmor para espacios de nombres de usuario en Ubuntu.
• Matriz de parches de proveedores heurística según /etc/os-release (RHEL 8/9/10, Debian 11/12/13/14, Ubuntu 18.04→26.04, SUSE, Amazon Linux, Arch-family rolling).

Uso

sudo ./cve-2026-46331-audit.sh                       # informe de texto completo
sudo ./cve-2026-46331-audit.sh --json                # JSON legible por máquina, sin banner
sudo ./cve-2026-46331-audit.sh --quiet --no-hunt     # veredicto de una línea para escaneos masivos
sudo ./cve-2026-46331-audit.sh --since 2026-06-01    # ampliar ventana de búsqueda de IoC
sudo ./cve-2026-46331-audit.sh --no-banner           # informe de texto sin el banner ASCII

Códigos de salida

Ejemplo de salida

Consulte examples/sample-output.txt para una ejecución completa y examples/sample-output.json para el formato JSON.

Modelo de puntuación de riesgo

La puntuación es una combinación ponderada de:

Limitado a 100. Cualquier valor por encima de ~70 debe tratarse como urgente en nodos multiinquilino / CI / Kubernetes; por debajo de ~20 suele ser una confirmación de que el host está bien.

Despliegue masivo

Ansible

ansible -i inventory all -m script \
  -a "cve-2026-46331-audit.sh --json --quiet --no-hunt" \
  --become \
  | tee /tmp/audit.jsonl

Luego agregue con jq:

grep -v '^[a-z]' /tmp/audit.jsonl | jq -s 'group_by(.verdict) | map({verdict: .[0].verdict, hosts: length})'

Failed_when en un play

- name: auditar CVE-2026-46331
  ansible.builtin.script: cve-2026-46331-audit.sh --quiet --no-hunt
  register: audit
  failed_when: audit.rc == 2
  changed_when: false

Mitigaciones (si necesita retrasar el parche)

En orden de preferencia. El script recomendará la correcta según lo que haya encontrado.

# Opción 1: bloquear act_pedit si no lo usa.
tc actions list action pedit                  # DEBE estar vacío antes de hacer esto
echo 'install act_pedit /bin/true' | sudo tee /etc/modprobe.d/disable-act_pedit.conf
lsmod | grep -q act_pedit && sudo rmmod act_pedit

# Opción 2: restringir espacios de nombres de usuario no privilegiados.
# Romperá Podman/Docker sin raíz, entornos aislados del navegador, Flatpak, unshare sin privilegios, algunos entornos aislados de CI.
sudo sysctl -w user.max_user_namespaces=0           # familia EL
sudo sysctl -w kernel.unprivileged_userns_clone=0   # Debian/Ubuntu

La verdadera solución es una actualización del kernel del proveedor y un reinicio. uname -r después del reinicio es lo único que lo prueba.

Contexto de la familia de errores

Esta es la quinta iteración del mismo fallo arquitectónico. Cada una corrigió la causa inmediata, ninguna corrigió la causa raíz: rutas rápidas de copia cero que comparten páginas a través de límites de propiedad, donde cada escritor debe probar la privacidad antes de mutar bytes, en cientos de sitios de llamada.

Rust en el kernel aborda exactamente esta clase mediante tipos de propiedad. No aparecerá en net/sched mañana.

Referencias

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-46331
• Red Hat: https://access.redhat.com/security/vulnerabilities/RHSB-2026-008
• Ubuntu: https://ubuntu.com/security/CVE-2026-46331
• Debian: https://security-tracker.debian.org/tracker/CVE-2026-46331
• Commit y descripción aguas arriba: consulte las referencias del registro NVD.

Licencia

MIT. Consulte LICENSE.

Aviso legal

Para uso defensivo autorizado en sistemas de su propiedad o para los que tenga permiso explícito de auditoría. El script nunca ejecuta la prueba de concepto pública, nunca modifica el estado del sistema y nunca carga módulos. Trate el veredicto como triaje, no como prueba de compromiso o de seguridad.