---

📖 概述

CVE-2026-46331 是一个影响 net/sched 数据包编辑 (act_pedit) 子系统的 Linux 内核漏洞。

该漏洞产生的原因是内核在 实际数据包编辑偏移量被确定之前 就计算了可写的写时复制 (COW) 范围。当运行时头部偏移量被应用时，内存的某些部分可能保持可写状态而未被复制，从而导致 页面缓存损坏。

在特定条件下，此损坏可以成为 本地权限提升 (LPE) 或内核不稳定的强大原语。:contentReference[oaicite:0]{index=0}

---

🔍 技术细节

受影响组件

Linux Kernel
└── net/
    └── sched/
        └── act_pedit.c

受影响函数：

tcf_pedit_act()

问题：

skb_ensure_writable()
        │
        ▼
仅计算一次可写范围
        │
        ▼
运行时的头部偏移量随后发生变化
        │
        ▼
修改 COW 区域之外的内存
        │
        ▼
页面缓存损坏

---

💥 根本原因

存在漏洞的实现：

• 只计算一次可写区域。
• 使用了 tcfp_off_max_hint。
• 未 考虑由类型化数据包编辑键引入的运行时偏移量。
• 写入已复制区域之外。

这创建了部分写时复制条件，可能损坏缓存的内核页面。:contentReference[oaicite:1]{index=1}

---

⚠️ 影响

可能的后果包括：

• 内核内存损坏
• 页面缓存损坏
• 系统崩溃
• 未定义的内核行为
• 潜在的本地权限提升 (LPE)
• 在有利条件下执行特权代码 :contentReference[oaicite:2]{index=2}

---

🎯 攻击条件

攻击者通常需要：

• 本地代码执行能力
• 配置 Linux 流量控制 (tc) 的能力
• CAP_NET_ADMIN（直接拥有，或通过非特权用户命名空间获得，具体取决于系统配置）

官方公告中未描述远程攻击向量。:contentReference[oaicite:3]{index=3}

---

📸 演示

---

📦 受影响组件

流量控制 (tc)

        │

 act_pedit

        │

 tcf_pedit_act()

        │

 skb_ensure_writable()

        │

 部分 COW

        │

 页面缓存损坏

---

🛠 修复

上游内核补丁：

• 将 skb_ensure_writable() 移至每个键处理循环内部。
• 使用实际的运行时写入偏移量。
• 添加整数溢出验证。
• 对负偏移量使用 skb_cow()。
• 防止无效偏移量运算 (INT_MIN)。:contentReference[oaicite:4]{index=4}

---

🛡 缓解措施

• ✅ 更新至已修复的内核版本。
• ✅ 限制 CAP_NET_ADMIN。
• ✅ 禁用不必要的 tc 数据包编辑规则。
• ✅ 在操作允许的情况下限制非特权用户命名空间。
• ✅ 安装已修复的内核后重新启动。:contentReference[oaicite:5]{index=5}

---

📊 总结

字段	值
CVE	CVE-2026-46331
组件	Linux 内核 net/sched
模块	act_pedit
漏洞类型	部分写时复制
影响	页面缓存损坏
可能结果	内核内存损坏 / 潜在 LPE
攻击向量	本地
所需权限	通常需要 CAP_NET_ADMIN
修复可用	✅ 是

---

📚 参考文献

• NIST 国家漏洞数据库 :contentReference[oaicite:6]{index=6}
• Red Hat 安全公告 :contentReference[oaicite:7]{index=7}
• Ubuntu 安全通知 :contentReference[oaicite:8]{index=8}

---