cve-2026-46331-audit

Script d'audit en lecture seule pour CVE-2026-46331 (alias pedit COW) — un bogue de copie partielle sur écriture (partial copy‑on‑write) dans l'action net/sched act_pedit du noyau Linux qui permet à un utilisateur local non privilégié de corrompre la mémoire du cache de pages et d'élever ses privilèges vers root.

   ____  _____ ____ ___ _____      ____ _____        __
  |  _ \| ____|  _ \_ _|_   _|    / ___/ _ \ \      / /
  | |_) |  _| | | | | |  | |     | |  | | | \ \ /\ / /
  |  __/| |___| |_| | |  | |     | |__| |_| |\ V  V /
  |_|   |_____|____/___| |_|      \____\___/  \_/\_/
     CVE-2026-46331    net/sched act_pedit partial COW

En résumé

tcf_pedit_act() calcule la plage COW pour skb_ensure_writable() une seule fois avant la boucle principale, en utilisant tcfp_off_max_hint. Les clés typées ajoutent un décalage d'en-tête à l'exécution que l'indice ne couvre pas, de sorte qu'une partie de l'écriture finale se produit en dehors de la région COW. Résultat : des pages partagées du cache de pages sont modifiées, et un binaire setuid mis en cache (cible classique : /bin/su) peut être empoisonné en mémoire. Les empreintes sur disque restent intactes. Les moniteurs d'intégrité de fichiers ne le verront pas.

Même famille de bogues que Dirty COW (CVE-2016-5195), Dirty Pipe (CVE-2022-0847), Copy Fail (CVE-2026-31431) et Dirty Frag (CVE-2026-46300). Le point d'entrée diffère, mais l'échec de propriété des pages est le même.

Ce que fait le script

Triage strictement en lecture seule. Ne charge jamais de module, ne touche jamais à sysctl, n'exécute jamais de PoC. Conçu pour être sûr à exécuter en production.

• Inventorie le noyau en cours, la distribution, la version du paquet noyau.
• Sonde la joignabilité de act_pedit via quatre signaux indépendants :
  • chargé actuellement (lsmod)
  • chargeable à la demande (modinfo)
  • intégré au noyau en cours (/boot/config-$(uname -r), /proc/config.gz, modules.builtin)
  • bloqué par une blacklist ou une redirection install ... /bin/true dans modprobe.d
• Liste les règles tc action pedit existantes (informations ; aucune modification).
• Lit les barrières userns : user.max_user_namespaces, kernel.unprivileged_userns_clone et les restrictions AppArmor Ubuntu sur les userns.

Utilisation

sudo ./cve-2026-46331-audit.sh                       # rapport textuel complet
sudo ./cve-2026-46331-audit.sh --json                # JSON lisible par machine, sans bannière
sudo ./cve-2026-46331-audit.sh --quiet --no-hunt     # verdict en une ligne pour les scans de masse
sudo ./cve-2026-46331-audit.sh --since 2026-06-01    # élargir la fenêtre de chasse d'IoC
sudo ./cve-2026-46331-audit.sh --no-banner           # rapport textuel sans la bannière ASCII

Codes de sortie

Exemple de sortie

Voir examples/sample-output.txt pour une exécution complète, et examples/sample-output.json pour le format JSON.

Modèle de score de risque

Le score est une combinaison pondérée de :

Plafonné à 100. Tout ce qui dépasse ~70 doit être traité comme urgent sur les nœuds multi‑locataires / CI / Kubernetes ; en dessous de ~20, c'est généralement une confirmation que l'hôte est sain.

Déploiement de masse

Ansible

ansible -i inventory all -m script \
  -a "cve-2026-46331-audit.sh --json --quiet --no-hunt" \
  --become \
  | tee /tmp/audit.jsonl

Puis agréger avec jq :

grep -v '^[a-z]' /tmp/audit.jsonl | jq -s 'group_by(.verdict) | map({verdict: .[0].verdict, hosts: length})'

failed_when dans un play

- name: auditer CVE-2026-46331
  ansible.builtin.script: cve-2026-46331-audit.sh --quiet --no-hunt
  register: audit
  failed_when: audit.rc == 2
  changed_when: false

Atténuations (si vous devez retarder le correctif)

Par ordre de préférence. Le script recommandera la meilleure selon ce qu'il a trouvé.

# Option 1 : bloquer act_pedit si vous ne l'utilisez pas.
tc actions list action pedit                  # DOIT être vide avant de faire cela
echo 'install act_pedit /bin/true' | sudo tee /etc/modprobe.d/disable-act_pedit.conf
lsmod | grep -q act_pedit && sudo rmmod act_pedit

# Option 2 : restreindre les espaces de noms utilisateur non privilégiés.
# Va casser Podman/Docker sans root, les sandbox navigateur, Flatpak, unshare non privilégié, certains sandbox CI.
sudo sysctl -w user.max_user_namespaces=0           # famille EL
sudo sysctl -w kernel.unprivileged_userns_clone=0   # Debian/Ubuntu

Le vrai correctif est une mise à jour du noyau fournisseur suivie d'un redémarrage. uname -r après redémarrage est la seule preuve.

Contexte de la famille de bogues

C'est la cinquième itération du même échec architectural. Chacune a corrigé la cause immédiate, aucune n'a corrigé la cause racine : des chemins rapides de copie zéro partageant des pages au‑delà des frontières de propriété, où chaque écrivain doit prouver la confidentialité avant de modifier des octets, sur des centaines de points d'appel.

Rust dans le noyau adresse exactement cette classe via les types de propriété. Cela n'arrivera pas dans net/sched demain.

Références

• NVD : https://nvd.nist.gov/vuln/detail/CVE-2026-46331
• Red Hat : https://access.redhat.com/security/vulnerabilities/RHSB-2026-008
• Ubuntu : https://ubuntu.com/security/CVE-2026-46331
• Debian : https://security-tracker.debian.org/tracker/CVE-2026-46331
• Commit amont et description : voir les références de l'enregistrement NVD.

Licence

MIT. Voir LICENSE.

Avertissement

Pour une utilisation défensive autorisée sur des systèmes que vous possédez ou pour lesquels vous avez l'autorisation explicite d'auditer. Le script n'exécute jamais le PoC public, ne modifie jamais l'état du système et ne charge jamais de modules. Traitez le verdict comme un triage, non comme une preuve de compromission ou de sécurité.