g0thamrabb1t/cve-2026-46331-pedit-cow-detectionCVE-2026-46331 / pedit COW에 대한 방어적 검증: auditd, AppArmor, 완화 비교 및 탐지 로직 포함
CVE-2026-46331에 대한 방어적 검증 보고서로, Linux 커널
act_pedit, 로컬 권한 상승 동작, auditd 원격 측정, AppArmor 완화, 탐지 로직에 초점을 맞춥니다.
이 저장소는 CVE-2026-46331 / pedit COW에 대한 방어적 검증 보고서를 포함합니다. 해당 취약점은 net/sched/act_pedit와 관련된 Linux 커널 로컬 권한 상승 취약점입니다.
이 작업은 Ubuntu에서 통제된 실험실 검증을 문서화하며, 다음을 포함합니다:
kernel.apparmor_restrict_unprivileged_unconfined=1을 사용한 완화 검증.이 저장소는 익스플로잇 코드를 제공하지 않습니다. 목적은 방어적 분석, 탐지 엔지니어링, 취약점 검증 및 보고입니다.
보고서는 /reports 디렉토리에서 확인할 수 있습니다:
보고서는 테스트된 Ubuntu 호스트가 로컬 권한 상승 경로에 필요한 조건을 충족했는지 문서화하며, 다음을 포함합니다:
act_pedit 커널 모듈의 가용성,aa-exec, 루트 프로세스 실행에 대한 auditd 가시성.또한 실험실에서는 다음을 활성화하기 전후의 시스템 동작을 비교합니다:
kernel.apparmor_restrict_unprivileged_unconfined=1
이 저장소의 주요 가치는 탐지 지향 검증입니다. 보고서는 단일 지표보다는 여러 원격 측정 소스의 상관 관계에 초점을 맞춥니다.
신뢰도 높은 행동 시퀀스:
비특권 사용자
-> 네임스페이스 생성
-> netlink 소켓 사용
-> aa-exec / AppArmor 프로파일 전환
-> root_exec (euid=0)
유용한 auditd 키 및 지표:
ns_create
netlink_socket
apparmor_bypass_path
root_exec
tc action pedit offset out of bounds
AppArmor DENIED sys_admin/net_admin
보고서에는 auditd, Splunk SPL, XQL, 커널 저널 및 AppArmor 이벤트에 대한 예제 탐지 로직도 포함되어 있습니다.
현재 구조:
.
├── README.md
└── reports/
├── CVE-2026-46331_pedit_COW_auditd_EN.pdf
└── CVE-2026-46331_pedit_COW_auditd_PL.pdf
현재 범위에는 충분합니다. 나중에 탐지 규칙이 별도의 파일로 추출되면 선택적으로 /detections 디렉토리가 추가될 수 있습니다:
detections/
├── auditd.rules
├── splunk.spl
└── xql.xql
이 자료는 다음에 유용할 수 있습니다:
이 자료는 통제된 검증, 방어적 탐지 개발 및 완화 평가를 위한 것입니다. 명시적 승인 없이 시스템을 대상으로 사용해서는 안 됩니다.
테스트된 완화 조치는 테스트된 익스플로잇 경로의 실질적 영향을 줄였지만, 구성 완화는 커널 업데이트를 대체하는 것으로 취급되어서는 안 됩니다. 권장되는 접근 방식은 커널에 패치를 적용하고 운영 가능한 경우 추가 강화를 유지하는 것입니다.