這是一個近期在 Linux 核心中發現的嚴重漏洞，編號為 CVE-2026-46331，被社群暱稱為 pedit COW。這個漏洞最危險的地方在於，它允許一個完全沒有權限的本地使用者，直接在記憶體中修改系統關鍵檔案，進而取得最高權限（Root Access），且不會在硬碟上留下任何修改痕跡。
對於初入行的工程師來說，要理解這個漏洞，必須先掌握兩個核心概念：Page Cache（頁快取）與 Copy-on-Write（寫入時複製）。
首先，Page Cache 是 Linux 為了加速讀取，將硬碟上的檔案內容暫時儲存在記憶體中的機制。當系統執行一個程式（例如 /bin/su 時，核心會將該檔案載入到 Page Cache 中。
其次，Copy-on-Write (COW) 是一種記憶體管理技術。當多個程序共用同一塊記憶體頁面，而其中一個程序想要修改內容時，核心不會直接修改原件，而是先複製一份私有的副本給該程序修改，這樣才不會影響到其他共用該頁面的程序。
pedit COW 漏洞的成因
這個漏洞發生在 Linux 核心的流量控制子系統（traffic-control subsystem）中的 act_pedit 功能。pedit 的作用是在網路封包傳輸過程中，允許核心修改封包的標頭資訊。
在正常運作下，tcf_pedit_act 函數在修改資料前，應該遵循 COW 機制，先建立一個私有副本。然而，該函數在檢查可寫入範圍時存在缺陷，它在最終的偏移量（offset）確定之前就完成了檢查。
當某些編輯指令在執行時才計算出偏移量，導致寫入操作超出了私有副本的範圍，直接寫入了共用的 Page Cache 記憶體頁面。這意味著，攻擊者可以利用這個漏洞，將記憶體中快取的系統二進位檔（例如 /bin/su）內容篡改掉。
攻擊路徑與實務影響
攻擊者不需要修改硬碟上的實體檔案，因此傳統的檔案完整性檢查（File-integrity checks）完全無法偵測到異常。攻擊流程大致如下：
第一步，利用 User Namespace（使用者命名空間）獲取權限。在許多現代 Linux 發行版中，普通使用者可以建立自己的 User Namespace，這讓他們在該命名空間內擁有 CAP_NET_ADMIN（網路管理權限），進而有權限配置 tc 流量控制規則。
第二步，觸發漏洞。透過配置特定的 pedit 規則，利用上述的邊界檢查缺陷，將惡意代碼（Payload）注入到快取在記憶體中的 /bin/su 等 setuid root 程式中。
第三步，執行權限提升。當攻擊者執行被污染的 /bin/su 時，系統執行的是記憶體中被篡改的版本，從而直接開啟一個 Root Shell。
受影響的系統與防禦建議
此漏洞在 RHEL 10、Debian 13 以及部分 Ubuntu 版本中被證實可被利用。特別是預設開啟未特權使用者命名空間（unprivileged user namespaces）的系統風險最高。
針對此漏洞，建議採取以下行動：
最根本的解決辦法是更新核心並重新啟動。請優先處理多租戶主機、CI/CD 執行環境（Runners）、Kubernetes 節點以及共享的開發伺服器。
如果暫時無法更新，可以採取兩種緩解措施：
第一，禁用 act_pedit 模組。如果系統不需要使用 tc pedit 規則，可以透過 modprobe 禁用該模組的載入，切斷攻擊路徑。
第二，禁用未特權使用者命名空間。雖然這能阻止漏洞觸發，但會導致 Rootless 容器、部分沙箱瀏覽器或 CI 隔離環境無法運作，實施前必須經過全面測試。
值得注意的是，由於此攻擊僅發生在記憶體中，即便透過清除頁快取（drop_caches）可以移除污染內容，但如果攻擊者已經開啟了 Root Shell，系統就已經被完全掌控，必須視為已被入侵並採取相應的應變措施。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。