---

📖 Visão Geral

CVE-2026-46331 é uma vulnerabilidade do kernel Linux que afeta o subsistema net/sched de edição de pacotes (act_pedit).

A vulnerabilidade ocorre porque o kernel calcula o intervalo gravável de Copy-on-Write (COW) antes que o deslocamento real de edição do pacote seja conhecido. Quando os deslocamentos de cabeçalho em tempo de execução são aplicados, porções de memória podem permanecer graváveis sem serem copiadas, resultando em corrupção de cache de páginas.

Sob condições específicas, essa corrupção pode se tornar uma primitiva poderosa para escalada de privilégio local (LPE) ou instabilidade do kernel. :contentReference[oaicite:0]{index=0}

---

🔍 Detalhes Técnicos

Componente Vulnerável

Linux Kernel
└── net/
    └── sched/
        └── act_pedit.c

Função afetada:

tcf_pedit_act()

Problema:

skb_ensure_writable()
        │
        ▼
Calcula o intervalo gravável apenas uma vez
        │
        ▼
Deslocamentos de cabeçalho em tempo de execução mudam depois
        │
        ▼
Memória fora da região COW é modificada
        │
        ▼
Corrupção de Cache de Páginas

---

💥 Causa Raiz

A implementação vulnerável:

• Calcula a região gravável apenas uma vez.
• Usa tcfp_off_max_hint.
• Não considera os deslocamentos em tempo de execução introduzidos por chaves de edição de pacotes tipadas.
• Escreve além da região copiada.

Isso cria uma condição de Copy-on-Write parcial que pode corromper páginas do kernel em cache. :contentReference[oaicite:1]{index=1}

---

⚠️ Impacto

Possíveis consequências incluem:

• Corrupção de memória do kernel
• Corrupção de cache de páginas
• Falhas do sistema
• Comportamento indefinido do kernel
• Potencial escalada de privilégio local (LPE)
• Execução de código privilegiado sob condições favoráveis :contentReference[oaicite:2]{index=2}

---

🎯 Requisitos de Ataque

Um atacante geralmente requer:

• Execução de código local
• Capacidade de configurar o Controle de Tráfego Linux (tc)
• CAP_NET_ADMIN (diretamente ou através de um namespace de usuário não privilegiado, dependendo da configuração do sistema)

Nenhum vetor de ataque remoto foi descrito no comunicado oficial. :contentReference[oaicite:3]{index=3}

---

📸 Demonstração

---

📦 Componente Afetado

Controle de Tráfego (tc)

        │

 act_pedit

        │

 tcf_pedit_act()

        │

 skb_ensure_writable()

        │

 COW Parcial

        │

 Corrupção de Cache de Páginas

---

🛠 Correção

O patch do kernel upstream:

• Move skb_ensure_writable() para dentro do loop de processamento por chave.
• Usa o deslocamento de escrita real em tempo de execução.
• Adiciona validação de estouro de inteiro.
• Usa skb_cow() para deslocamentos negativos.
• Previne aritmética de deslocamento inválida (INT_MIN). :contentReference[oaicite:4]{index=4}

---

🛡 Mitigação

• ✅ Atualize para um kernel Linux corrigido.
• ✅ Restrinja CAP_NET_ADMIN.
• ✅ Desabilite regras de edição de pacotes tc desnecessárias.
• ✅ Limite namespaces de usuário não privilegiados onde for operacionalmente apropriado.
• ✅ Reinicie após instalar o kernel corrigido. :contentReference[oaicite:5]{index=5}

---

📊 Resumo

Campo	Valor
CVE	CVE-2026-46331
Componente	Linux Kernel net/sched
Módulo	act_pedit
Vulnerabilidade	Copy-on-Write Parcial
Impacto	Corrupção de Cache de Páginas
Resultado Possível	Corrupção de Memória do Kernel / LPE Potencial
Vetor de Ataque	Local
Privilégios Necessários	Tipicamente CAP_NET_ADMIN
Correção Disponível	✅ Sim

---

📚 Referências

• NIST National Vulnerability Database :contentReference[oaicite:6]{index=6}
• Red Hat Security Advisory :contentReference[oaicite:7]{index=7}
• Ubuntu Security Notice :contentReference[oaicite:8]{index=8}

---