Faille locale, accès root, cache de pages corrompu. Une vulnérabilité du noyau Linux, suivie sous l’identifiant CVE-2026-46331, permet à un utilisateur local non privilégié de viser une élévation de privilèges jusqu’à root sur des systèmes exposés. Le problème se situe dans act_pedit, un composant du sous-système de traffic control, où une erreur de calcul du périmètre Copy-on-Write (COW) peut corrompre la page cache de binaires partagés.
Le scénario décrit par les éditeurs de sécurité est concret. Un attaquant local peut altérer la version mise en cache d’un binaire sensible, y compris un exécutable setuid-root comme /bin/su, puis déclencher son exécution depuis le cache. Le fichier sur disque ne change pas. C’est la copie en mémoire qui est empoisonnée. La faille a été publiée en juin 2026 et des correctifs circulent désormais dans les branches noyau concernées.
Points clés
- La CVE-2026-46331 vise act_pedit dans le sous-système traffic control du noyau Linux
- Une erreur de calcul COW corrompt la page cache de binaires comme /bin/su pour passer root
- RHEL 8, 9 et 10 sont concernés, ainsi que Debian et Ubuntu selon les noyaux
- Mitigation : décharger le module act_pedit ou appliquer les correctifs des distributions
Ce que fait la faille dans act_pedit
La vulnérabilité touche tcf_pedit_act(), la fonction qui applique les règles pedit dans tc. D’après les avis publiés par plusieurs éditeurs, le noyau calcule une zone COW avant la boucle qui traite les clés, à partir d’un indicateur statique qui ne tient pas compte du décalage d’en-tête ajouté à l’exécution. Une partie des écritures peut donc s’effectuer hors de la zone réellement rendue privée.
Le mécanisme ouvre la porte à une corruption de la page cache, c’est-à-dire des pages mémoire partagées avec des fichiers présents sur disque. Dans les scénarios décrits, l’attaque nécessite un accès local et l’usage de user namespaces avec des droits CAP_NET_ADMIN pour installer des règles de trafic manipulant le chemin pedit.
- Composant touché :
net/sched, actionact_pedit - Type de faille : écriture hors limite menant à une corruption de page cache
- Effet attendu : élévation de privilèges locale jusqu’à root
- Identifiant : CVE-2026-46331
Impact, versions et correctifs
Red Hat classe le problème dans sa catégorie Important et indique que des versions de Red Hat Enterprise Linux 8, 9 et 10 sont concernées. D’autres bulletins citent aussi des systèmes Debian et Ubuntu selon les branches et les noyaux embarqués. Un bulletin technique chinois évoque des versions vulnérables allant de 5.18 à 7.1-rc7 avant l’intégration du correctif.
Le correctif noyau recalcule la zone inscriptible au plus près de la boucle de traitement, lorsque l’offset réel est connu, et renforce les contrôles sur l’arithmétique d’offset. Côté mitigation, on peut bloquer ou décharger le module act_pedit quand il n’est pas nécessaire, ou appliquer les paquets correctifs fournis par la distribution. Red Hat précise que sur certaines offres comme OpenShift Container Platform, le module vulnérable n’est pas chargé par défaut.
Les bulletins disponibles au 26 juin 2026 convergent sur un point. La faille ne dépend pas d’un simple crash ou d’une condition de concurrence, mais d’une écriture exploitable qui modifie en mémoire des binaires partagés. La correction devient prioritaire sur les hôtes où les règles tc et act_pedit sont réellement utilisées.
