В Linux е разкрита нова уязвимост за локално повишаване на привилегии (LPE) с име Fragnesia, която позволява на локален потребител да получи root достъп.

В ядрото на Linux е разкрита нова уязвимост за локално повишаване на привилегии, наречена Fragnesia и идентификатор CVE-2026-46300. Проблемата принадлежи към същата категория атаки на page cache, каквато беше наскоро обсъждана с Copy Fail и Dirty Frag, но не е повторно публикуване на стара грешка: става дума за отделен дефект в кода. XFRM ESP-in-TCP.

Уязвимостта е открита от изследователя Уилям Боулдинг от екипа на V12 Security. Според публикуваното описание, Fragnesia позволява на непривилегирован локален потребител да променя съдържанието на файлове, достъпни само за четене, в паметта на page cache и по този начин да изпълнява код с права root. За разлика от много стари LPE експлоатации, атаката не изисква състезание и се описва от изследователите като детерминирана.

Технически проблемът е свързан с това, че при обединяване на мрежови буфери, ядрото е могло да загуби индикацията, че фрагментът от данни е "общ" и свързан с външна страница на паметта, включително с page cache. В предложената пача това е описано като грешка в skb_try_coalesce(): при прехвърляне на paged фрагменти от един sk_buff в друг не е запазен флагът SKBFL_SHARED_FRAG. В резултат по-късният код ESP може да счете буфера за безопасен за модификация.

Практическият ефект е, че данни, преди поставени в TCP опашката от файл, след преминаване на сокета в режим espintcp са могли да бъдат обработвани от ядрото като ESP шифрован текст. При разшифроването на AES-GCM байтовете се променят директно в страницата на page cache, свързана с файла. Това не променя файла на диска, но променя неговото представяне в паметта до изсичане на страницата от кеша.

В публикуваната демонстрация на атаката целта е била /usr/bin/su: експлойтът е модифицирал първите байтове на бинарния файл в page cache и след това е стартирал изменената в паметта версия, получавайки shell с права root. Първоначалният файл на диска при това е останал неизменен, което прави проблема особено неприятен за диагностика: следи от експлоатация могат да изчезнат след почистване на page cache или презареждане.

Фрагнесия се появи по-малко от седмица след Dirty Frag. В V12 подчертават, че това е отделна уязвимост на същата атака — ESP/XFRM, а не преименуване на вече поправена уязвимост. Phoronix също отбелязва, че към момента на публикуване е бил наличен proof-of-concept, а поправката представлява малък пач за net/core/skbuff.c, който все още не е в основните клони на ядрото.

Canonical присвоила CVE-2026-46300 висок приоритет за Ubuntu, посочвайки причината като „тривиално локално повишаване на правата“. На страницата за сигурност на Ubuntu за засегнатите ядра към момента на обновлението на 13 май беше посочен статус „Нуждае се от оценка“, а в забележката се казва, че проблемът също се намира в ESP модула на ядрото и може временно да бъде смекчен по същия начин, както Dirty Frag.

Debian Security Tracker показа уязвими ядра в клоновете bullseye, bookworm, trixie, forky и sid; за пакета linux в unstable фиксирана версия все още не беше посочена.

Временната защитна мярка остава същата, както за Dirty Frag: деактивиране на зареждането на модулите esp4, esp6 и rxrpc, ако не са необходими за системата. Това може да наруши работата на IPsec тунелите на узли, където се използват kernel ESP, strongSwan, Libreswan или подобни конфигурации, затова на VPN шлюзовете такава мярка трябва да се прилага само след оценка на последствията.

Пример за временно смекчаване за администраторите:

sudo sh -c "printf ‘install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen’ > /etc/modprobe.d/dirtyfrag.conf" sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

Ако има подозрение, че системата вече може да е била атакувана, просто блокирането на модулите не е достатъчно: тъй като публичната демонстрация променя изпълнимия файл точно в page cache, администраторите препоръчват да се изчисти кеша на страниците или да се рестартира системата след прилагане на защитните мерки. CloudLinux изрично посочва, че след експлоатация /usr/bin/su може да остане променен в паметта до освобождаването на съответните страници.

За премахване на временното правило след инсталиране на поправеното ядро може да се премахне създаденият файл:

sudo rm /etc/modprobe.d/dirtyfrag.conf

Главната препоръка остава стандартна: инсталирайте поправеното ядро от своя дистрибутив и рестартирайте системата. Преди обновлението най-голям риск носът многопотребителските сървъри, CI рънери, shared hosting, контейнерни build ферми и всякакви машини, където непривилегировани или частично доверени потребители могат да изпълняват локален код.

Източник: linux.org.ru