pedit COW Exploit: Root-Zugriff durch Cache-Vergiftung

Der Linux-pedit-COW-Exploit (CVE-2026-46331) ermöglicht lokalen Benutzern Root-Zugriff durch Out-of-Bounds-Write im Kernel-Traffic-Controller. Ein öffen…

Es klingt wie ein schlechter Scherz, aber es ist real. Ein neuer Exploit namens „pedit COW“ macht die Runde und versetzt lokale Angreifer in die Lage, Root-Rechte zu erlangen – indem er schlichtweg gecachte Binärdateien vergiftet.

Was genau ist passiert?

Die Sicherheitslücke CVE-2026-46331 steckt im Traffic-Control-Subsystem des Linux-Kernels. Genauer gesagt in der Aktion act_pedit, die Paket-Editierungen vornimmt. Ein Out-of-Bounds-Write (OOB) erlaubt es, den sogenannten Page Cache zu korrumpieren. Das klingt technisch, ist aber verheerend: Der Cache, der häufig genutzte Binärdateien vorhält, wird zum Einfallstor.

Und das Beste? Ein funktionierender Exploit wurde bereits einen Tag nach der Zuweisung der CVE-Nummer am 16. Juni veröffentlicht. Red Hat stuft die Schwachstelle als kritisch ein. Wenn Sie einen Linux-Rechner betreiben, sollten Sie jetzt hellhörig werden.

Wer ist betroffen?

Jeder, der einen Linux-Kernel mit aktiviertem Traffic-Control-Subsystem nutzt. Das betrifft die meisten Distributionen – von Ubuntu über Debian bis hin zu Red Hat Enterprise Linux. Auch Cloud-Server sind potenziell verwundbar, wenn lokale Benutzer Zugriff haben.

Die gute Nachricht: Der Angriff erfordert lokalen Zugriff. Ein externer Hacker kann nicht einfach von außen eindringen. Aber sobald jemand einen Benutzeraccount auf Ihrem System hat, kann er die Lücke ausnutzen. Das ist ein Albtraum-Szenario für Hosting-Anbieter.

Wie funktioniert der Exploit?

Der Trick liegt in der Manipulation des Page Cache. Normale Schreibvorgänge in den Cache sind kontrolliert. Der pedit-COW-Exploit schreibt jedoch außerhalb der vorgesehenen Grenzen – daher Out-of-Bounds. Dadurch kann ein Angreifer den Inhalt von Binärdateien im Cache verändern, ohne die Dateien auf der Festplatte zu modifizieren.

Stellen Sie sich vor, die /bin/su-Binärdatei im Cache wird so gepatcht, dass sie dem Angreifer Root-Rechte gewährt. Das System führt dann die manipulierten Binärdaten aus, weil der Cache schneller ist als die Festplatte. Genial und gleichzeitig erschreckend einfach.

Was können Sie tun?

Patchen, patchen, patchen. Die Kernel-Entwickler haben bereits einen Fix bereitgestellt. Red Hat hat Sicherheitsupdates für RHEL 8 und 9 veröffentlicht. Ubuntu und Debian folgen hoffentlich bald. Warten Sie nicht.

Sie können als Workaround das Laden des Moduls act_pedit unterbinden, falls Sie es nicht benötigen. Aber seien Sie ehrlich: Wer weiß schon genau, ob eine Anwendung im Hintergrund darauf angewiesen ist? Sicherer ist der Kernel-Update.

Ein Blick in die Zukunft

Diese Lücke zeigt einmal mehr: Der Linux-Kernel ist ein riesiges Stück Software. Niemand kann jede Codezeile prüfen. Die Sicherheitscommunity ist auf Exploits wie diesen angewiesen, um Lücken zu schließen. Aber die Zeit zwischen CVE-Vergabe und funktionierendem Exploit wird immer kürzer. Das setzt Admins unter Druck.

Für Sie als Administrator bleibt nur eines: Bleiben Sie auf dem Laufenden. Abonnieren Sie Sicherheits-Mailinglisten. Und vor allem: Installieren Sie Updates, sobald sie verfügbar sind. Der pedit-COW-Exploit ist kein Hirngespinst. Er ist da. Und er wird genutzt werden.

Weitere Informationen finden Sie in der Linux-Sicherheitskategorie oder im Exploit-Archiv.