{"id":1313,"date":"2026-06-26T13:42:44","date_gmt":"2026-06-26T13:42:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/el-nuevo-exploit-cow-pedit-de-linux-permite-el-acceso-raiz-envenenando-archivos-binarios-almacenados-en-cache-cyberdefensa-mx\/"},"modified":"2026-06-26T13:42:44","modified_gmt":"2026-06-26T13:42:44","slug":"el-nuevo-exploit-cow-pedit-de-linux-permite-el-acceso-raiz-envenenando-archivos-binarios-almacenados-en-cache-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/el-nuevo-exploit-cow-pedit-de-linux-permite-el-acceso-raiz-envenenando-archivos-binarios-almacenados-en-cache-cyberdefensa-mx\/","title":{"rendered":"El nuevo exploit COW pedit de Linux permite el acceso ra\u00edz envenenando archivos binarios almacenados en cach\u00e9 \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Una falla en el subsistema de control de tr\u00e1fico del kernel de Linux puede permitir que un usuario local sin privilegios obtenga root en los sistemas afectados.<\/p>\n<p><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-46331\">CVE-2026-46331<\/a>apodado \u00ab<b>pedit VACA<\/b>,\u00bb es una escritura fuera de l\u00edmites en la acci\u00f3n de edici\u00f3n de paquetes (act_pedit) que corrompe la memoria cach\u00e9 de p\u00e1gina compartida. <a href=\"https:\/\/github.com\/sgkdev\/packet_edit_meme\">p\u00fablico, explotaci\u00f3n laboral<\/a> apareci\u00f3 un d\u00eda despu\u00e9s de la asignaci\u00f3n de CVE el 16 de junio. Red Hat <a href=\"https:\/\/access.redhat.com\/security\/vulnerabilities\/RHSB-2026-008\">califica el defecto como importante<\/a>.<\/p>\n<p>El exploit nunca toca el archivo en el disco. Envenena la copia almacenada en cach\u00e9 de un binario ra\u00edz setuid (\/bin\/su) en la memoria, inyecta una peque\u00f1a carga \u00fatil y ejecuta esa imagen alterada como ra\u00edz. Las comprobaciones de integridad de archivos resultan limpias mientras ya hay un shell ra\u00edz abierto.<\/p>\n<p>El exploit necesita dos cosas: que act_pedit sea cargable y que los espacios de nombres de usuario sin privilegios est\u00e9n abiertos, lo que le da al atacante una capacidad de red local de espacio de nombres (CAP_NET_ADMIN) necesaria para desencadenar el error.<\/p>\n<p>En los objetivos RHEL y Debian probados, ambas condiciones estaban presentes.<\/p>\n<h2>C\u00f3mo funciona el error<\/h2>\n<p>La herramienta de control de tr\u00e1fico tc de Linux puede reescribir encabezados de paquetes en vuelo mediante una acci\u00f3n llamada pedit. Se supone que la funci\u00f3n del n\u00facleo que hace esto, tcf_pedit_act(), debe hacer una copia privada de los datos antes de editarlos, el patr\u00f3n est\u00e1ndar de copia en escritura.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Verific\u00f3 el rango de escritura una vez, antes de que se conocieran las compensaciones finales. Algunas claves de edici\u00f3n solo resuelven su desplazamiento en tiempo de ejecuci\u00f3n. Cuando eso sucede, la escritura aterriza fuera de la regi\u00f3n copiada de forma privada, por lo que el kernel modifica una p\u00e1gina de cach\u00e9 de p\u00e1gina compartida en lugar de una copia privada. Si esa p\u00e1gina pertenece a un archivo almacenado en cach\u00e9, la imagen en memoria del archivo est\u00e1 da\u00f1ada.<\/p>\n<p>El patr\u00f3n me resulta familiar. <a href=\"https:\/\/thehackernews.com\/2022\/03\/researchers-warn-of-linux-kernel-dirty.html\">Dirty Pipe, Copy Fail, DirtyClone y Dirty Frag comparten la misma forma: una ruta r\u00e1pida del kernel escribe en una p\u00e1gina que no es de su propiedad exclusiva y el cach\u00e9 de la p\u00e1gina recibe el impacto.<\/a><\/p>\n<p>Lo nuevo aqu\u00ed es el punto de entrada. Un usuario sin privilegios puede configurar acciones tc desde dentro de un espacio de nombres de usuario, lo que le proporciona el CAP_NET_ADMIN que necesita el exploit.<\/p>\n<h2>Sistemas afectados<\/h2>\n<p>El autor de PoC inform\u00f3 sobre la explotaci\u00f3n de root sin privilegios en RHEL 10 y Debian 13 (trixie), donde los espacios de nombres de usuarios sin privilegios est\u00e1n abiertos de forma predeterminada. Ubuntu 24.04 requer\u00eda la ejecuci\u00f3n de enrutamiento a trav\u00e9s de perfiles de AppArmor que a\u00fan permiten espacios de nombres de usuario. Ubuntu 26.04 bloquea esa ruta de forma predeterminada porque sus perfiles de AppArmor restringen los espacios de nombres de usuarios sin privilegios, aunque el kernel subyacente sigue siendo vulnerable.<\/p>\n<p>Las correcciones se dividen por proveedor.<\/p>\n<ul>\n<li><a href=\"https:\/\/security-tracker.debian.org\/tracker\/CVE-2026-46331\">Debian ha arreglado trixie<\/a> a trav\u00e9s de su canal de seguridad. Debian 11 y 12 todav\u00eda figuran como vulnerables.<\/li>\n<li>Ubuntu enumera las versiones compatibles <a href=\"https:\/\/ubuntu.com\/security\/CVE-2026-46331\">del 18.04 al 26.04<\/a> tan vulnerable a partir del 25 de junio.<\/li>\n<li>Red Hat enumera RHEL 8, 9 y 10 como afectados; RHEL 7 no figura en el bolet\u00edn.<\/li>\n<\/ul>\n<h2>Qu\u00e9 hacer<\/h2>\n<p>Instale el kernel parcheado y reinicie. Priorice los sistemas donde \u00abusuario local\u00bb no significa usuario confiable: hosts multiinquilino, ejecutores de CI\/CD, nodos de Kubernetes, trabajadores de compilaci\u00f3n y m\u00e1quinas de laboratorio o de investigaci\u00f3n compartidas.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Si a\u00fan no puede parchear, dos mitigaciones acaban con la cadena de exploits. En sistemas que no necesitan reglas tc pedit, verifique si el m\u00f3dulo est\u00e1 en uso (lsmod | grep act_pedit), luego bloquee su carga:<\/p>\n<pre><code>echo 'install act_pedit \/bin\/true' | sudo tee \/etc\/modprobe.d\/disable-act_pedit.conf<\/code><\/pre>\n<p>Alternativamente, deshabilite los espacios de nombres de usuarios sin privilegios (user.max_user_namespaces=0 en RHEL, kernel.unprivileged_userns_clone=0 en Debian\/Ubuntu). Esto elimina la capacidad de espacio de nombres local que necesita el exploit, pero rompe los contenedores sin ra\u00edz, algunos entornos limitados de CI y navegadores en entornos aislados. Prueba primero.<\/p>\n<p>Debido a que la sobrescritura tiene como objetivo la memoria cach\u00e9, es posible que las comprobaciones de integridad de archivos no la detecten. Al eliminar el cach\u00e9 de la p\u00e1gina (echo 3 &gt; \/proc\/sys\/vm\/drop_caches) se borra la copia en memoria envenenada, pero no se hace nada con respecto al shell ra\u00edz que el atacante ya abri\u00f3. Trate al host como comprometido.<\/p>\n<p>La soluci\u00f3n aterriz\u00f3 en el <a href=\"https:\/\/lists.openwall.net\/netdev\/2026\/05\/23\/133\">lista de correo netdev<\/a> a finales de mayo, enmarcado como un parche rutinario de corrupci\u00f3n de datos. El detalle explotable permaneci\u00f3 en una lista de correo p\u00fablica durante semanas. Sin CVE, sin advertencia de seguridad. El CVE se asign\u00f3 cuando se fusion\u00f3 la soluci\u00f3n el 16 de junio. La prueba de concepto armada sigui\u00f3 en un d\u00eda. Para los errores de corrupci\u00f3n de la cach\u00e9 de p\u00e1ginas del kernel, esperar una regla de an\u00e1lisis es demasiado lento.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Una falla en el subsistema de control de tr\u00e1fico del kernel de Linux puede permitir que un usuario local sin privilegios obtenga root en los sistemas afectados. CVE-2026-46331apodado \u00abpedit VACA,\u00bb es una escritura fuera de l\u00edmites en la acci\u00f3n de edici\u00f3n de paquetes (act_pedit) que corrompe la memoria cach\u00e9 de p\u00e1gina compartida. p\u00fablico, explotaci\u00f3n laboral [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[68,3339,1339,3338,2520,3335,24,3337,633,15,169,3336,265,860],"class_list":["post-1313","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-acceso","tag-almacenados","tag-archivos","tag-binarios","tag-cache","tag-cow","tag-cyberdefensa-mx","tag-envenenando","tag-exploit","tag-linux","tag-nuevo","tag-pedit","tag-permite","tag-raiz"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1313","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1313"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1313\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1313"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1313"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1313"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}