🚨 CVE-2026-46331 - Bogue COW du noyau Linux

Corruption du cache de pages par Copie sur écriture (COW) partielle dans le noyau Linux net/sched

Une vulnérabilité du noyau Linux causée par une gestion incorrecte de la Copie sur écriture (COW) dans le sous-système d'édition de paquets de contrôle de trafic (tc).

📖 Aperçu

CVE-2026-46331 est une vulnérabilité du noyau Linux affectant le sous-système d'édition de paquets net/sched (act_pedit).

La vulnérabilité se produit car le noyau calcule la plage inscriptible par Copie sur écriture (COW) avant que le décalage réel de l'édition de paquets ne soit connu. Lorsque des décalages d'en-tête au moment de l'exécution sont appliqués, des portions de mémoire peuvent rester inscriptibles sans être copiées, entraînant une corruption du cache de pages.

Dans certaines conditions, cette corruption peut devenir une primitive puissante pour l'élévation de privilèges locale (LPE) ou l'instabilité du noyau. :contentReference[oaicite:0]{index=0}

🔍 Détails techniques

Composant vulnérable

Linux Kernel
└── net/
    └── sched/
        └── act_pedit.c

Fonction concernée :

tcf_pedit_act()

Problème :

skb_ensure_writable()
        │
        ▼
Calcule la plage inscriptible une seule fois
        │
        ▼
Les décalages d'en-tête d'exécution changent ensuite
        │
        ▼
Mémoire en dehors de la région COW modifiée
        │
        ▼
Corruption du cache de pages

💥 Cause racine

L'implémentation vulnérable :

• Calcule la région inscriptible une seule fois.
• Utilise tcfp_off_max_hint.
• Ne tient pas compte des décalages d'exécution introduits par les clés d'édition de paquets typées.
• Écrit au-delà de la région copiée.

Cela crée une condition de Copie sur écriture partielle qui peut corrompre les pages du noyau mises en cache. :contentReference[oaicite:1]{index=1}

⚠️ Impact

Les conséquences possibles incluent :

• Corruption de la mémoire du noyau
• Corruption du cache de pages
• Plantages du système
• Comportement indéfini du noyau
• Élévation de privilèges locale potentielle (LPE)
• Exécution de code privilégié dans des conditions favorables :contentReference[oaicite:2]{index=2}

🎯 Prérequis d'attaque

Un attaquant nécessite généralement :

• Exécution de code locale
• Capacité à configurer le contrôle de trafic Linux (tc)
• CAP_NET_ADMIN (directement ou via un espace de noms utilisateur non privilégié, selon la configuration du système)

Aucun vecteur d'attaque à distance n'a été décrit dans l'avis officiel. :contentReference[oaicite:3]{index=3}

📸 Démo

📦 Composant affecté

Contrôle de trafic (tc)

        │

 act_pedit

        │

 tcf_pedit_act()

        │

 skb_ensure_writable()

        │

 COW partielle

        │

 Corruption du cache de pages

🛠 Correctif

Le correctif du noyau en amont :

• Déplace skb_ensure_writable() à l'intérieur de la boucle de traitement par clé.
• Utilise le décalage d'écriture réel à l'exécution.
• Ajoute une validation de débordement d'entier.
• Utilise skb_cow() pour les décalages négatifs.
• Empêche l'arithmétique de décalage invalide (INT_MIN). :contentReference[oaicite:4]{index=4}

🛡 Atténuation

• ✅ Mettez à jour vers un noyau Linux corrigé.
• ✅ Restreignez CAP_NET_ADMIN.
• ✅ Désactivez les règles d'édition de paquets tc inutiles.
• ✅ Limitez les espaces de noms utilisateur non privilégiés là où c'est opérationnellement approprié.
• ✅ Redémarrez après l'installation du noyau corrigé. :contentReference[oaicite:5]{index=5}

📊 Résumé

📚 Références

• Base de données nationale des vulnérabilités NIST :contentReference[oaicite:6]{index=6}
• Avis de sécurité Red Hat :contentReference[oaicite:7]{index=7}
• Avis de sécurité Ubuntu :contentReference[oaicite:8]{index=8}