Im Linux-Kernel klafft eine Sicherheitslücke, die lokalen Nutzern ohne besondere Rechte einen direkten Weg zum Administrator-Account öffnet. Unter der Kennung CVE-2026-46331 hat Red Hat eine Schwachstelle in der Traffic-Control-Komponente act_pedit als "Important" eingestuft, also als bedeutende, wenn auch nicht die höchste Risikokategorie. Betroffen sind alle gängigen RHEL-Versionen von 8 bis 10 sowie zahlreiche Produkte, die auf dem RHEL-Kernel aufbauen. Wer einen lokalen Account auf einem verwundbaren System besitzt, kann die Lücke laut Hersteller ausnutzen, um sich Root-Rechte zu verschaffen und wird von Sicherheitsforschern bereits als "pedit COW" bezeichnet.

Fehler im Netzwerk-Stack

Technisch gesehen steckt der Fehler tief im Netzwerk-Stack des Kernels, genauer in der Funktion tcf_pedit_act(). Diese berechnet den Speicherbereich für eine Copy-on-Write-Operation nur einmal, bevor sie über mehrere Bearbeitungsschlüssel iteriert. Das Problem dabei: Typisierte Schlüssel können zur Laufzeit zusätzliche Header-Offsets einführen, die in dieser einmaligen Berechnung fehlen. Dadurch bleibt ein Teil des eigentlich zu schützenden Speicherbereichs ungeschützt, und ein Out-of-Bounds-Write wird möglich, der direkt den Seitencache des Systems korrumpiert. Aus dieser Speicherkorruption lässt sich anschließend die Eskalation zu vollen Systemrechten konstruieren.

Auf der Liste der direkt betroffenen Produkte stehen Red Hat Enterprise Linux 8, 9 und 10 sowie die für NVIDIA-Hardware angepasste RHEL-Variante. Auch Red Hat OpenShift Container Platform taucht auf, allerdings mit niedrigerer Risikoeinstufung, da das betroffene Kernel-Modul dort standardmäßig nicht geladen wird. Darüber hinaus warnt Red Hat, dass jedes Produkt, das auf dem RHEL-Kernel basiert, ebenfalls gefährdet sein kann. Das schließt RHEL CoreOS sowie Layered Products wie Red Hat OpenStack Platform und Red Hat Virtualization mit ein. Betreiber solcher Umgebungen sollten deshalb in jedem Fall prüfen, ob der zugrunde liegende Kernel auf dem aktuellen Stand ist.

Exploit bereits im Umlauf

Bis ein vollständiger Patch eingespielt ist, empfiehlt Red Hat eine pragmatische Übergangslösung: das Blockieren des act_pedit-Moduls per Modprobe-Konfiguration, damit es beim Systemstart nicht mehr automatisch geladen wird. Wichtig dabei ist eine Einschränkung, auf die der Hersteller ausdrücklich hinweist: Systeme, die tc pedit-Regeln für Traffic Shaping oder das Umschreiben von Paket-Headern nutzen, könnten durch diese Maßnahme in ihrer Funktion beeinträchtigt werden. Mit dem Befehl lsmod | grep act_pedit lässt sich vorab prüfen, ob das Modul aktuell überhaupt im Einsatz ist. Ist es bereits geladen, hilft nur ein Entladen oder ein Neustart, damit die Blockade tatsächlich greift.

Brisant wird die Lage durch den Zeitfaktor: Nach Angaben von Sicherheitsforschern tauchte bereits einen Tag nach der Vergabe der CVE-Nummer am 16. Juni ein öffentlich funktionierender Exploit für die Lücke auf. Red Hat hat nach eigenen Angaben bereits mehrere Fixes veröffentlicht, weitere sollen folgen, weshalb Administratoren betroffener Systeme die fortlaufend aktualisierte Sicherheitsmitteilung im Blick behalten sollten. Wer sich beim Red-Hat-Kundenportal anmeldet, kann den entsprechenden Bulletin abonnieren und wird automatisch über neue Erkenntnisse oder verfügbare Updates informiert. Bis dahin gilt die Faustregel: Kernel zeitnah aktualisieren oder die beschriebene Mitigation als Brückenlösung einsetzen.