CVE-2026-46331 pedit COW – Validazione LPE Linux e rilevamento auditd/AppArmor

Report di validazione difensiva per CVE-2026-46331, incentrato sul kernel Linux act_pedit, sul comportamento di escalation dei privilegi locali, sulla telemetria auditd, sulla mitigazione AppArmor e sulla logica di rilevamento.

Descrizione del repository

Questo repository contiene report di validazione difensiva per CVE-2026-46331 / pedit COW, una vulnerabilità di escalation dei privilegi locali del kernel Linux correlata a net/sched/act_pedit.

Il lavoro documenta una validazione di laboratorio controllata su Ubuntu, tra cui:

• il comportamento pre-mitigazione e post-mitigazione,
• la telemetria di auditd e AppArmor,
• gli artefatti del journal del kernel,
• la logica di rilevamento per casi d'uso SOC/SIEM,
• la validazione della mitigazione tramite kernel.apparmor_restrict_unprivileged_unconfined=1.

Questo repository non fornisce codice di exploit. Il suo scopo è l'analisi difensiva, l'ingegneria del rilevamento, la validazione delle vulnerabilità e il reporting.

Report

I report sono disponibili nella directory /reports:

Cosa è stato validato

Il report documenta se l'host Ubuntu testato soddisfacesse le condizioni richieste per il percorso di escalation dei privilegi locali, tra cui:

• disponibilità del modulo del kernel act_pedit,
• namespace utente non privilegiati abilitati,
• restrizioni AppArmor sui namespace utente,
• presenza di profili AppArmor non confinati rilevanti per il percorso testato,
• visibilità di auditd sulla creazione di namespace, sull'uso di netlink, su aa-exec e sull'esecuzione di processi root.

Il laboratorio confronta inoltre il comportamento del sistema prima e dopo l'abilitazione di:

kernel.apparmor_restrict_unprivileged_unconfined=1

Focus sul rilevamento

Il valore principale di questo repository è la validazione orientata al rilevamento. Il report si concentra sulla correlazione di più fonti di telemetria piuttosto che su un singolo indicatore.

Sequenza comportamentale ad alta confidenza:

unprivileged user
  -> namespace creation
  -> netlink socket usage
  -> aa-exec / AppArmor profile transition
  -> root_exec with euid=0

Chiavi e indicatori auditd utili:

ns_create
netlink_socket
apparmor_bypass_path
root_exec
tc action pedit offset out of bounds
AppArmor DENIED sys_admin/net_admin

I report includono anche esempi di logica di rilevamento per auditd, Splunk SPL, XQL, journal del kernel ed eventi AppArmor.

Struttura del repository

Struttura attuale:

.
├── README.md
└── reports/
    ├── CVE-2026-46331_pedit_COW_auditd_EN.pdf
    └── CVE-2026-46331_pedit_COW_auditd_PL.pdf

Questo è sufficiente per l'ambito attuale. Se in futuro le regole di rilevamento verranno estratte in file autonomi, potrebbe essere aggiunta una directory /detections opzionale:

detections/
├── auditd.rules
├── splunk.spl
└── xql.xql

Destinatari

Questo materiale può essere utile per:

• team di gestione delle vulnerabilità,
• analisti SOC,
• ingegneri del rilevamento,
• amministratori Linux,
• responder agli incidenti,
• ricercatori di sicurezza che operano in ambienti di laboratorio controllati.

Solo uso difensivo

Il materiale è destinato a validazione controllata, sviluppo di rilevamenti difensivi e valutazione delle mitigazioni. Non deve essere utilizzato per prendere di mira sistemi senza autorizzazione esplicita.

Punto chiave

La mitigazione testata ha ridotto l'impatto pratico del percorso di sfruttamento testato, ma le mitigazioni di configurazione non dovrebbero essere considerate un sostituto dell'aggiornamento del kernel. L'approccio consigliato è applicare la patch al kernel e mantenere un rafforzamento aggiuntivo dove operativamente possibile.

Riferimenti

• NVD: CVE-2026-46331
• Ubuntu Security: CVE-2026-46331
• Documentazione sulle restrizioni dei namespace utente di Ubuntu AppArmor
• Copertura di The Hacker News su pedit COW
• Advisory CVE di Red Hat