🚨 CVE-2026-46331 - LinuxカーネルCOWバグ

Linuxカーネル net/sched 部分的なコピーオンライト（COW）ページキャッシュ破損

Linuxカーネルの脆弱性で、トラフィック制御（tc）パケット編集サブシステムにおける不正確なコピーオンライト（COW）処理に起因します。

📖 概要

CVE-2026-46331 は、**net/sched パケット編集（act_pedit）**サブシステムに影響を与えるLinuxカーネルの脆弱性です。

この脆弱性は、カーネルが実際のパケット編集オフセットが判明する前に書き込み可能なコピーオンライト（COW）範囲を計算するために発生します。ランタイムヘッダオフセットが適用されると、コピーされずにメモリの一部が書き込み可能なままとなり、ページキャッシュ破損を引き起こします。

特定の条件下では、この破損は**ローカル権限昇格（LPE）**やカーネルの不安定性のための強力なプリミティブとなる可能性があります。 :contentReference[oaicite:0]{index=0}

🔍 技術詳細

脆弱性のあるコンポーネント

Linux Kernel
└── net/
    └── sched/
        └── act_pedit.c

影響を受ける関数:

tcf_pedit_act()

問題:

skb_ensure_writable()
        │
        ▼
書き込み可能範囲を一度だけ計算
        │
        ▼
後でランタイムヘッダオフセットが変更
        │
        ▼
COW領域外のメモリが変更される
        │
        ▼
ページキャッシュ破損

💥 根本原因

脆弱性のある実装:

• 書き込み可能領域を一度だけ計算する。
• tcfp_off_max_hint を使用する。
• 型付きパケット編集キーによって導入されるランタイムオフセットを考慮しない。
• コピーされた領域を超えて書き込む。

これにより、カーネルキャッシュページを破損する可能性のある部分的なコピーオンライト状態が生じます。 :contentReference[oaicite:1]{index=1}

⚠️ 影響

考えられる影響:

• カーネルメモリ破損
• ページキャッシュ破損
• システムクラッシュ
• 未定義のカーネル動作
• 潜在的なローカル権限昇格（LPE）
• 好条件下での特権コード実行 :contentReference[oaicite:2]{index=2}

🎯 攻撃要件

攻撃者には通常以下が必要:

• ローカルコード実行
• Linuxトラフィック制御（tc）の設定能力
• CAP_NET_ADMIN（システム構成に応じて、直接または非特権ユーザ名前空間を通じて）

公式勧告ではリモート攻撃ベクトルは説明されていません。 :contentReference[oaicite:3]{index=3}

📸 デモ

📦 影響を受けるコンポーネント

トラフィック制御（tc）

        │

 act_pedit

        │

 tcf_pedit_act()

        │

 skb_ensure_writable()

        │

 部分的なCOW

        │

 ページキャッシュ破損

🛠 修正

上流カーネルパッチ:

• skb_ensure_writable() を各キー処理ループ内に移動。
• 実際のランタイム書き込みオフセットを使用。
• 整数オーバーフローの検証を追加。
• 負のオフセットには skb_cow() を使用。
• 不正なオフセット演算（INT_MIN）を防止。 :contentReference[oaicite:4]{index=4}

🛡 軽減策

• ✅ パッチ適用済みのLinuxカーネルに更新する。
• ✅ CAP_NET_ADMIN を制限する。
• ✅ 不要な tc パケット編集ルールを無効にする。
• ✅ 運用上適切な場合、非特権ユーザ名前空間を制限する。
• ✅ 修正済みカーネルインストール後に再起動する。 :contentReference[oaicite:5]{index=5}

📊 概要

📚 参考文献

• NIST National Vulnerability Database :contentReference[oaicite:6]{index=6}
• Red Hat Security Advisory :contentReference[oaicite:7]{index=7}
• Ubuntu Security Notice :contentReference[oaicite:8]{index=8}