🚨 CVE-2026-46331 - Bug COW del Kernel Linux

Kernel Linux net/sched Corruzione della Cache delle Pagine per Copy-on-Write (COW) Parziale

Una vulnerabilità del kernel Linux causata da una gestione errata del Copy-on-Write (COW) nel sottosistema di modifica dei pacchetti del controllo del traffico (tc).

📖 Panoramica

CVE-2026-46331 è una vulnerabilità del kernel Linux che colpisce il sottosistema net/sched di modifica dei pacchetti (act_pedit).

La vulnerabilità si verifica perché il kernel calcola l'intervallo scrivibile Copy-on-Write (COW) prima che sia noto l'effettivo offset di modifica del pacchetto. Quando vengono applicati gli offset runtime delle intestazioni, porzioni di memoria possono rimanere scrivibili senza essere copiate, causando corruzione della cache delle pagine.

In determinate condizioni, questa corruzione può diventare una potente primitiva per elevazione dei privilegi locale (LPE) o instabilità del kernel. :contentReference[oaicite:0]{index=0}

🔍 Dettagli Tecnici

Componente Vulnerabile

Kernel Linux
└── net/
    └── sched/
        └── act_pedit.c

Funzione interessata:

tcf_pedit_act()

Problema:

skb_ensure_writable()
        │
        ▼
Calcola l'intervallo scrivibile una sola volta
        │
        ▼
Gli offset runtime delle intestazioni cambiano successivamente
        │
        ▼
Memoria al di fuori della regione COW modificata
        │
        ▼
Corruzione della Cache delle Pagine

💥 Causa Principale

L'implementazione vulnerabile:

• Calcola la regione scrivibile una sola volta.
• Usa tcfp_off_max_hint.
• Non tiene conto degli offset runtime introdotti dalle chiavi di modifica dei pacchetti tipizzate.
• Scrive oltre la regione copiata.

Ciò crea una condizione di Copy-on-Write parziale che può corrompere le pagine della cache del kernel. :contentReference[oaicite:1]{index=1}

⚠️ Impatto

Le possibili conseguenze includono:

• Corruzione della memoria del kernel
• Corruzione della cache delle pagine
• Arresti anomali del sistema
• Comportamento indefinito del kernel
• Potenziale elevazione dei privilegi locale (LPE)
• Esecuzione di codice privilegiato in condizioni favorevoli :contentReference[oaicite:2]{index=2}

🎯 Requisiti di Attacco

Un attaccante richiede generalmente:

• Esecuzione di codice locale
• Capacità di configurare il Controllo del Traffico Linux (tc)
• CAP_NET_ADMIN (direttamente o tramite un namespace utente non privilegiato, a seconda della configurazione del sistema)

Nell'avviso ufficiale non è descritto alcun vettore di attacco remoto. :contentReference[oaicite:3]{index=3}

📸 Demo

📦 Componente Interessato

Traffic Control (tc)

        │

 act_pedit

        │

 tcf_pedit_act()

        │

 skb_ensure_writable()

        │

 COW Parziale

        │

 Corruzione della Cache delle Pagine

🛠 Correzione

La patch upstream del kernel:

• Sposta skb_ensure_writable() all'interno del ciclo di elaborazione per chiave.
• Usa l'effettivo offset di scrittura runtime.
• Aggiunge una validazione di overflow intero.
• Usa skb_cow() per offset negativi.
• Impedisce l'aritmetica di offset non valida (INT_MIN). :contentReference[oaicite:4]{index=4}

🛡 Mitigazione

• ✅ Aggiornare a un kernel Linux corretto.
• ✅ Limitare CAP_NET_ADMIN.
• ✅ Disabilitare regole di modifica dei pacchetti tc non necessarie.
• ✅ Limitare i namespace utente non privilegiati dove operativamente appropriato.
• ✅ Riavviare dopo aver installato il kernel corretto. :contentReference[oaicite:5]{index=5}

📊 Riepilogo

📚 Riferimenti

• Database Nazionale delle Vulnerabilità NIST :contentReference[oaicite:6]{index=6}
• Avviso di Sicurezza Red Hat :contentReference[oaicite:7]{index=7}
• Avviso di Sicurezza Ubuntu :contentReference[oaicite:8]{index=8}