Linux内核页缓存覆写提权双链攻击深度剖析:CVE-2026-46331与CVE-2026-43503联动

staticinttcf_pedit_act(struct sk_buff *skb, conststruct tc_action *a,                         struct tcf_result *res){    struct tcf_pedit *pc = to_pedit(a);    int i, off, val, mask;    u32 max_off = pc->tcfp_off_max_hint;    // 仅循环外一次性读取静态偏移最大值    skb_cow(skb, max_off);    for (i = 0; i < pc->tcfp_nkeys; i++) {        off = pc->keys[i].off;        val = pc->keys[i].val;        mask = pc->keys[i].mask;        // 运行时报文新增头部偏移未叠加进max_off        *(u32 *)(skb->data + off) = (*(u32 *)(skb->data + off) & ~mask) | (val & mask);    }    return TC_ACT_OK;}

static struct sk_buff *__pskb_copy_fclone(struct sk_buff *skb, int headroom, bool fclone){    struct sk_buff *n;    n = skb_clone(skb, GFP_ATOMIC);    if (!n)        return NULL;    // 克隆时未同步复制SKBFL_SHARED_FRAG标记    n->flags &= ~SKBFL_SHARED_FRAG;    if (headroom > skb_headroom(n))        skb_expand_head(n, headroom - skb_headroom(n), 0, GFP_ATOMIC);    return n;}

#!/bin/bash# CVE-2026-46331 + CVE-2026-43503 单机漏洞检测工具# 支持 Ubuntu Debian RHEL Fedora CentOS Stream# 执行权限 chmod +x kernel_cve_scan.sh && ./kernel_cve_scan.shclearecho "=============================="echo "Linux双内核高危提权漏洞检测工具"echo "漏洞编号：CVE-2026-46331 pedit COW / CVE-2026-43503 DirtyClone"echo "=============================="# 获取纯净内核版本，剔除发行版后缀RAW_KERN=(echo RAW_KERN"echo "标准化比对内核版本：2" "2"}ver_lt() {    ! ver_ge "2"}# 风险标记初始化FLAG_PEDIT=0FLAG_DIRTYCLONE=0FLAG_UNPRIV_USERN=0FLAG_ACT_PEDIT_MOD=0FLAG_ESP_MOD=0# 判断CVE-2026-46331风险区间 5.18 <= ver <7.1if ver_ge "KERN_VER" "7.1"; then    FLAG_PEDIT=1    echo -e "\033[31m[高危] 内核存在CVE-2026-46331 pedit COW漏洞\033[0m"else    echo -e "\032[32m[安全] CVE-2026-46331已修复，无风险\033[0m"fi# 判断CVE-2026-43503风险区间 <7.1if ver_lt "(sysctl net.user_namespaces.unprivileged_userns_clone 2>/dev/null | awk '{print USERN_CFG" = "1" ]; then    FLAG_UNPRIV_USERN=1    echo -e "\033[31m[高危配置] 允许普通用户创建用户命名空间，漏洞利用前置条件满足\033[0m"else    echo -e "\032[32m[缓解配置] 禁止普通用户创建用户命名空间，大幅降低攻击成功率\033[0m"fi# 检测攻击依赖内核模块echo -e "\n==== 攻击依赖内核模块加载检测 ===="if lsmod | grep -q act_pedit; then    FLAG_ACT_PEDIT_MOD=1    echo -e "\033[31m[存在] act_pedit模块已加载，pedit漏洞攻击通路开放\033[0m"else    echo -e "\032[32m[未加载] act_pedit模块，临时阻断pedit攻击路径\033[0m"fiif lsmod | grep -q esp; then    FLAG_ESP_MOD=1    echo -e "\033[31m[存在] esp IPsec模块已加载，DirtyClone攻击通路开放\033[0m"else    echo -e "\032[32m[未加载] esp模块，临时阻断DirtyClone攻击路径\033[0m"fi# 风险等级判定输出echo -e "\n=============================="echo "整机风险等级判定"echo "=============================="TOTAL_RISK=TOTAL_RISK -ge 2 ] && [ FLAG_ESP_MOD -eq 1 ]; then    echo -e "\033[41;37m【极高危】双漏洞全部存在，双攻击模块加载，可无痕绕过文件完整性检测完成root提权，立即执行临时加固！\033[0m"elif [ TOTAL_RISK -eq 1 ]; then    echo -e "\033[34m【中危】单一内核漏洞风险，完成模块黑名单加固\033[0m"else    echo -e "\032[32m【安全】内核无对应漏洞风险，配置符合安全基线\033[0m"fi# 应急加固命令输出echo -e "\n==== 临时应急加固命令（重启失效） ===="echo "# 1 关闭无特权用户命名空间"echo "sysctl -w net.user_namespaces.unprivileged_userns_clone=0"echo "echo 'net.user_namespaces.unprivileged_userns_clone=0' >> /etc/sysctl.conf && sysctl -p"echo "# 2 卸载攻击依赖内核模块"echo "rmmod act_pedit esp 2>/dev/null"echo "# 3 永久黑名单禁止开机加载"echo "cat > /etc/modprobe.d/block_cve_2026.conf <<EOF"echo "blacklist act_pedit"echo "install act_pedit /bin/false"echo "blacklist esp"echo "install esp /bin/false"echo "EOF"# 内核升级指令区分发行版echo -e "\n==== 永久修复：内核升级命令 ===="if [ -f /etc/debian_version ]; then    echo "# Ubuntu / Debian 升级内核"    echo "apt update && apt full-upgrade -y && reboot"elif [ -f /etc/redhat-release ]; then    echo "# RHEL / Fedora / CentOS Stream 升级内核"    echo "dnf update kernel -y && reboot"fiecho "=============================="

---- name: 批量检测CVE-2026-46331、CVE-2026-43503内核漏洞  hosts: all  gather_facts: true  tasks:    - name: 上传单机检测脚本至目标主机/tmp目录      copy:        content: |          #!/bin/bash          RAW_KERN=(echo RAW_KERN"          echo "KERN_STD: 2" "$1" | sort -V | head -n1 | grep -qx "$2"          }          ver_lt() {              ! ver_ge "$1" "$2"          }          FLAG_PEDIT=0          FLAG_DIRTYCLONE=0          if ver_ge "KERN_VER" "7.1"; then              FLAG_PEDIT=1              echo "RISK_PEDIT: 1"          else              echo "RISK_PEDIT: 0"          fi          if ver_lt "(sysctl net.user_namespaces.unprivileged_userns_clone 2>/dev/null | awk '{print USERN"          lsmod | grep -q act_pedit && echo "MOD_ACT_PEDIT: 1" || echo "MOD_ACT_PEDIT: 0"          lsmod | grep -q esp && echo "MOD_ESP: 1" || echo "MOD_ESP: 0"        dest: /tmp/kernel_cve_check.sh        mode: '0755'    - name: 远程执行漏洞检测脚本      shell: /tmp/kernel_cve_check.sh      register: scan_result    - name: 输出单主机检测结果      debug:        msg: "{{ scan_result.stdout_lines }}"    - name: 收集高危主机信息写入本地巡检报告      copy:        content: "【{{ inventory_hostname }}】{{ scan_result.stdout }}\n======\n"        dest: ./kernel_cve_risk_report.txt        append: true

sysctl -w net.user_namespaces.unprivileged_userns_clone=0

rmmod act_pedit esp xfrm 2>/dev/null

chmod 700 /sbin/tcchown root:root /sbin/tc

setcap -r /usr/bin/ip

echo "net.user_namespaces.unprivileged_userns_clone=0" >> /etc/sysctl.confsysctl -p

blacklist act_peditinstall act_pedit /bin/falseblacklist espinstall esp /bin/falseblacklist xfrminstall xfrm /bin/false