Root-Privilegien-Eskalation im Linux-Kernel betrifft Ubuntu, Debian und RHEL

Technische Analyse von CVE-2026-46331

Die Schwachstelle (CVE-2026-46331)hat ihren Ursprung im Subsystem zur Verkehrssteuerung, genauer gesagt im act_pedit-Modul. Die Schwachstelle wird durch eine fehlende Grenzwertprüfung verursacht, die es einem Angreifer ermöglicht, Schreibvorgänge außerhalb des vorgesehenen Speicherbereichs durchzuführen. Diese Speicherbeschädigung betrifft den Seiten-Cache und bietet einem lokalen Benutzer eine Möglichkeit, Sicherheitsbeschränkungen zu umgehen.

Wird die Schwachstelle erfolgreich ausgenutzt, kann ein Angreifer mit minimalen Systemberechtigungen Code als Root-Benutzer ausführen und erhält so die vollständige administrative Kontrolle über den betroffenen Rechner.

Status der Distributionen und öffentliche Exploits

Das Risikoniveau ist nach der Veröffentlichung mehrerer funktionsfähiger Exploits auf GitHub gestiegen. Obwohl es derzeit keine bestätigten Berichte darüber gibt, dass diese Sicherheitslücke in weit verbreiteten aktiven Angriffen ausgenutzt wird, erleichtert die Verfügbarkeit von öffentlichem Exploit-Code böswilligen Akteuren das Anvisieren anfälliger Systeme.

Die Reaktion der Distributionsbetreuer war uneinheitlich. Benutzer von Red Hat Enterprise Linux können das Problem in der Regel durch die Installation der neuesten System-Updates beheben. Für Benutzer von Debian und Ubuntu ist die Situation jedoch uneinheitlicher, da viele Versionen dieser Distributionen trotz des vorhandenen Upstream-Kernel-Patches weiterhin anfällig sind.

Behebung und Workarounds

Systemadministratoren wird empfohlen, Kernel-Updates vorrangig durchzuführen, um die Schwachstelle zu beseitigen. In Umgebungen, in denen ein offizieller Patch nicht sofort angewendet werden kann, steht ein manueller Workaround zur Verfügung, um das Risiko zu mindern. Administratoren können das anfällige Modul deaktivieren, indem sie act_peditauf die Blacklist setzen. Dies geschieht durch Ausführen des folgenden Befehls:

echo "blacklist act_pedit" ᐳ /etc/modprobe.d/blacklist-act-pedit.conf

Bevor du diese Abhilfe anwendest, musst du überprüfen, ob das System für die Steuerung des Netzwerkverkehrs oder das Umschreiben von Paket-Headern auf dieses spezielle Modul angewiesen ist, da das Blockieren des Moduls bestimmte Netzwerkfunktionen stören könnte.