PACKET_EDIT_MEME — также известный как CVE-2026-46331

net/sched act_pedit — частичное повреждение page-cache из-за COW (коммит-виновник 899ee91156e5, присутствует с v5.18 .. исправлено в v7.1-rc7). packet_edit_meme.c превращает уязвимость в непривилегированный локальный root: дочерний процесс с CAP_NET_ADMIN в userns перезаписывает кэшированную ELF-запись setuid-root /bin/su шеллкодом setgid(0)+setuid(0)+execve("/bin/sh").

make                     
./packet_edit_meme         
./packet_edit_meme --ubuntu  # AppArmor-gated Ubuntu: aa-exec bypass first

Цели (проверено 2026-06, непривилегированный пользователь -> root)

RHEL / Debian: непривилегированный userns открыт по умолчанию, флаг не нужен. RHEL поставляется без cls_basic / em_meta, поэтому примитив автоматически переключается на matchall.

Ограничение AppArmor в Ubuntu

Ubuntu блокирует создание непривилегированных userns для unconfined-процессов с помощью двух sysctl:

kernel.apparmor_restrict_unprivileged_userns       # denies unconfined userns creation
kernel.apparmor_restrict_unprivileged_unconfined   # forces unconfined change_profile to STACK,
                                                   # so an aa-exec permissive profile cannot
                                                   # shed the userns restriction

--ubuntu повторно запускает процесс через aa-exec -p {trinity,chrome,flatpak} (профили, содержащие правило userns,).

24.04.4 : userns=1, unconfined=0  -> aa-exec bypass WORKS
26.04   : userns=1, unconfined=1  -> aa-exec bypass CLOSED