UCloud-202606-002:Linux Kernel net/sched act_pedit 本地权限提升漏洞安全告警

Linux 内核是一款开源的类 UNIX 操作系统内核，作为 Linux 系统的核心组件，负责管理系统硬件资源、进程调度、内存管理、文件系统与网络通信等核心功能，为各类应用程序提供底层支撑与系统调用接口。其广泛应用于服务器、桌面终端、移动设备、嵌入式系统与云计算环境，是全球主流 IT 基础设施的核心运行载体。其中网络子系统（net/sched）提供了流量控制（Traffic Control）框架，允许管理员通过 tc 工具对数据包进行分类、整形、修改与调度，act_pedit（Packet Editor）动作则用于在数据包传输过程中修改数据包内容。

 

2026 年 6 月，UCloud 安全中心监测到官方修复 Linux Kernel net/sched act_pedit 本地权限提升漏洞（CVE-2026-46331）。

 

经分析，漏洞源于 tcf_pedit_act() 函数在处理数据包编辑操作时，仅在循环外基于 tcfp_off_max_hint 一次性计算 skb 写时复制（COW）范围，该提示值未考虑运行时类型密钥追加的报文头部偏移，导致部分待写入内存区域未执行 COW 拷贝。攻击者可通过非特权用户命名空间配合 CAP_NET_ADMIN 权限，构造恶意 tc 流量规则，触发未 COW 的共享只读页缓存写入篡改；该利用无需内核竞态条件，可稳定篡改 setuid-root 二进制文件的页缓存，且不会持久写入磁盘，仅在内存层面生效。成功利用后，本地普通用户可直接获取系统 root 最高权限，从而完全控制服务器。

 

目前该漏洞 PoC 与技术细节已公开，鉴于影响范围较大，建议客户尽快做好自查及防护。