Una nuova vulnerabilità nel kernel Linux, soprannominata pedit COW e identificata come CVE-2026-46331, consente a un utente locale senza privilegi di ottenere i permessi di root. A renderla particolarmente urgente non è solo il meccanismo, elegante e affidabile, ma il fatto che un exploit funzionante sia già di dominio pubblico: il proof-of-concept, battezzato packet_edit_meme, è apparso su GitHub entro 24 ore dall'assegnazione del CVE, avvenuta il 16 giugno 2026, settimane dopo che i dettagli sfruttabili erano già circolati.
Dove si annida il difetto
La falla risiede nel sottosistema di traffic control (tc), nello specifico nell'azione di packet-editing act_pedit, che tc usa per riscrivere al volo i byte degli header dei pacchetti. La funzione vulnerabile, tcf_pedit_act(), dovrebbe seguire il classico meccanismo copy-on-write (COW): creare cioè una copia privata dei dati prima di modificarli. Il problema è che la funzione verifica gli intervalli di memoria scrivibili prima che gli offset finali del pacchetto siano completamente determinati. Poiché alcune chiavi di editing calcolano il proprio offset solo a runtime, le scritture finiscono per cadere fuori dalla regione di memoria prevista. Il risultato è che, invece di alterare una copia privata, il kernel modifica una pagina condivisa della page cache: una corruzione di memoria deterministica, non probabilistica.
Dalla corruzione di memoria a root
Il percorso di escalation è ingegnoso. Per attivare la funzionalità vulnerabile serve la capability CAP_NET_ADMIN, che però un utente non privilegiato può ottenere in versione locale sfruttando gli user namespace. A quel punto l'exploit "avvelena" la copia in cache di un binario setuid root — tipicamente /bin/su — iniettando un piccolo payload nell'immagine memorizzata e poi eseguendo quel binario alterato, che gira con i privilegi di root. Il quadro che ne emerge è quasi da manuale per una vulnerabilità di privilege escalation: vettore d'attacco locale, bassa complessità una volta soddisfatti i prerequisiti, nessuna interazione dell'utente, corruzione deterministica e, soprattutto, codice d'attacco pubblico e funzionante.
Sistemi colpiti e mitigazioni
L'impatto è ampio perché tocca componenti core del kernel presenti in tutte le distribuzioni mainstream: tra i sistemi interessati figurano RHEL 8, 9 e 10, Debian 11, 12 e 13 e Ubuntu dalla 18.04 fino alla 26.04. La via maestra è applicare gli aggiornamenti del kernel non appena resi disponibili dalle rispettive distribuzioni. Dove la patch non possa essere installata subito, esistono due mitigazioni: bloccare il modulo act_pedit se sul sistema non girano regole tc pedit, e limitare gli user namespace per gli utenti non privilegiati, ove l'ambiente lo consenta. Entrambe riducono drasticamente la superficie d'attacco, neutralizzando rispettivamente la funzionalità vulnerabile e il meccanismo con cui si ottiene la capability necessaria a innescarla.
Non è un caso isolato
Pedit COW arriva in coppia con un'altra escalation locale divulgata nello stesso periodo, CVE-2026-43503 (nota come DirtyClone), che colpisce anch'essa la page cache ma da un punto opposto del kernel, permettendo a un utente locale di corrompere memoria associata a file tramite un pacchetto di rete clonato. Due falle che, sfruttando la stessa struttura condivisa del kernel da estremità diverse, ricordano quanto la gestione della memoria cache resti uno dei terreni più delicati e produttivi per chi cerca di scalare i privilegi su Linux.
