Se ha revelado una nueva vulnerabilidad en el núcleo de Linux que combina un fallo de corrupción de la caché de páginas Copy-on-Write (COW) con el componente act_pedit del subsistema net/sched. Este fallo, denominado packet_edit_meme, permite que atacantes locales sin privilegios escalen sus permisos hasta obtener acceso total de root en diversas distribuciones principales de Linux, habiendo sido verificado en junio de 2026.

Una vulnerabilidad del kernel de Linux recientemente revelada, que combina un fallo de corrupción de la caché de páginas Copy-on-Write (COW) con el componente act_pedit del subsistema net/sched, está permitiendo que atacantes locales sin privilegios escalen sus privilegios hasta obtener acceso total de root en varias distribuciones importantes de Linux.

El exploit, apodado packet_edit_meme, ha sido verificado en junio de 2026 contra kernels empresariales y de consumo mantenidos activamente.

La causa raíz es un error de corrupción de caché de páginas partial-COW introducido en el commit del kernel 899ee91156e5, presente en las versiones del kernel de Linux desde la v5.18 hasta la v7.1-rc6 y parcheado en la v7.1-rc7. El fallo reside en el subsistema net/sched act_pedit, un componente de edición de tráfico del marco de control de tráfico (tc) de Linux.

La cadena de ataque funciona generando un proceso hijo de espacio de nombres de usuario con capacidades CAP_NET_ADMIN; un permiso accesible para usuarios sin privilegios en sistemas donde los espacios de nombres de usuario sin privilegios están habilitados por defecto.

El exploit aprovecha entonces la primitiva de corrupción COW para sobrescribir el punto de entrada ELF almacenado en la caché de página del binario setuid-root /bin/su, inyectando un shellcode que ejecuta setgid(0) + setuid(0) + execve("/bin/sh"), entregando así una shell de root al atacante.

Esta es la cuarta vulnerabilidad de escalada de privilegios revelada recientemente en sistemas Linux.

Vulnerabilidad	CVE	Revelada	Subsistema	Primitiva de Escritura	¿Requiere Root?
Copy Fail	CVE-2026-31431	30 de abril de 2026	algif_aead (AF_ALG crypto)	Escritura de caché de página de 4 bytes	No
DirtyFrag	CVE-2026-43284 / CVE-2026-43500	8 de mayo de 2026	IPsec ESP (xfrm) + RxRPC	Primitiva de escritura completa (encadenada)	No
Fragnesia	CVE-2026-46300	14 de mayo de 2026	XFRM ESP-in-TCP	Escritura de byte arbitrario	No
pedit COW	CVE-2026-46331	26 de junio de 2026	net/sched act_pedit	Escritura de caché de página fuera de límites	No

Distribuciones Afectadas

Las pruebas verificadas confirman el éxito de la explotación en múltiples distribuciones ampliamente desplegadas:

Distribución	Kernel	Flag	Resultado
RHEL 10.0	6.12.0-228.el10	Ninguna	ROOT
Debian 13 (Trixie)	6.12.90+deb13.1	Ninguna	ROOT
Ubuntu 24.04.4	6.17.0-22	--ubuntu	ROOT
Ubuntu 26.04	7.0.0-14-generic	--ubuntu	FALLO

RHEL y Debian son vulnerables inmediatamente sin necesidad de flags, ya que ambos vienen con los espacios de nombres de usuario sin privilegios abiertos por defecto. Cabe destacar que RHEL carece de los módulos cls_basic y em_meta, pero el exploit recurre automáticamente a matchall para entregar la misma primitiva de corrupción.

Ubuntu impone dos sysctls que restringen la creación de espacios de nombres de usuario sin privilegios:

• kernel.apparmor_restrict_unprivileged_userns — bloquea la creación de userns no confinados
• kernel.apparmor_restrict_unprivileged_unconfined — evita que los perfiles permisivos de aa-exec eliminen la restricción

El flag --ubuntu vuelve a ejecutar el exploit a través de aa-exec utilizando perfiles permisivos como trinity, chrome o flatpak — que llevan una regla de userns — saltándose efectivamente la barrera de AppArmor.

Este bypass funciona en Ubuntu 24.04.4 (unconfined=0) pero está cerrado en Ubuntu 26.04 (unconfined=1), que endurece la restricción para bloquear completamente esta ruta de re-ejecución.

Mitigaciones

Red Hat ha publicado un boletín de seguridad oficial en RHSB-2026-008. Se insta encarecidamente a los administradores a aplicar los parches del kernel inmediatamente, restringir la creación de espacios de nombres de usuario sin privilegios mediante sysctl donde sea operativamente viable, y monitorizar invocaciones inesperadas de aa-exec o eventos de creación de espacios de nombres.

Las organizaciones que utilicen kernels entre la v5.18 y la v7.1-rc6 deben tratar este parche como una prioridad crítica.

Fuentes:
https://cybersecuritynews.com/linux-pedit-cow-exploit/