PACKET_EDIT_MEME - 別名 CVE-2026-46331

net/sched act_pedit の部分COWページキャッシュ破損（原因コミット 899ee91156e5、 v5.18 から存在し、v7.1-rc7 で修正）。packet_edit_meme.c はこれを非特権ユーザーによる ローカル root 権限奪取へと変えます: userns CAP_NET_ADMIN を持つ子プロセスが、setuid-root の /bin/su のキャッシュ済み ELF エントリを setgid(0)+setuid(0)+execve("/bin/sh") シェルコードで上書きします。

make                     
./packet_edit_meme         
./packet_edit_meme --ubuntu  # AppArmor-gated Ubuntu: aa-exec bypass first

対象（2026-06 検証、非特権ユーザー → root）

RHEL / Debian: 非特権 userns はデフォルトで開放されており、フラグは不要です。RHEL には cls_basic / em_meta が搭載されていないため、プリミティブは自動的に matchall にフォールバックします。

Ubuntu AppArmor ゲート

Ubuntu は、unconfined の非特権 userns を 2 つの sysctl で拒否します:

kernel.apparmor_restrict_unprivileged_userns       # denies unconfined userns creation
kernel.apparmor_restrict_unprivileged_unconfined   # forces unconfined change_profile to STACK,
                                                   # so an aa-exec permissive profile cannot
                                                   # shed the userns restriction

--ubuntu は aa-exec -p {trinity,chrome,flatpak} を介して再実行します（userns, ルールを 持つプロファイル）。

24.04.4 : userns=1, unconfined=0  -> aa-exec bypass WORKS
26.04   : userns=1, unconfined=1  -> aa-exec bypass CLOSED