Der kernel i Linux har afsløret en ny sårbarhed for lokal optrapning af privilegier, kendt som Fragnesia og identificeret ved CVE-2026-46300. Problemet hører til samme klasse af angreb på page cache som de nyligt diskuterede Copy Fail og Dirty Frag, men er ikke en gentagen offentliggørelse af en gammel fejl: det handler om en separat defekt i koden XFRM ESP-in-TCP.
Sårbarheden blev opdaget af forskeren William Bowling fra teamet V12 Security. Ifølge den offentliggjorte beskrivelse gør Fragnesia det muligt for en ikke-privilegeret lokal bruger at ændre indholdet af filer, der kun er tilgængelige til læsning, i page cache, og dermed udføre kode med root-rettigheder. I modsætning til mange gamle LPE-exploits kræver angrebet ikke en race og beskrives af forskerne som deterministisk.
Teknisk set er problemet relateret til det faktum, at når netværksbufferne blev sammenført, kunne kernen miste indikatoren for, at et datastykke er 'fælles' og relateret til en ekstern hukommelsesside, herunder page cache. I det foreslåede patch beskrives dette som en fejl i skb_try_coalesce(): ved overførsel af paged fragments fra en sk_buff til en anden blev flaget SKBFL_SHARED_FRAG ikke bevaret. Som et resultat kunne senere ESP-kode fejlagtigt betragte bufferet som sikkert at ændre.
Den praktiske effekt er, at data, der tidligere blev placeret i TCP-køen fra en fil, efter at socketen blev skiftet til espintcp-tilstand, kunne behandles af kernen som ESP-chiffrede tekst. Ved dekryptering af AES-GCM blev bytes ændret direkte i page cache-siden, der var forbundet til filen. Dette ændrer ikke filen på disken, men ændrer dens repræsentation i hukommelsen indtil siden udfases fra cachen.
I den offentliggjorte demonstrationsangreb blev /usr/bin/su brugt som mål: exploit ændrede de første bytes af den binære fil i page cache og startede derefter den ændrede version i hukommelsen, hvilket gav en shell med root-rettigheder. Den originale fil på disken forblev uændret, hvilket gør problemet særligt vanskeligt at diagnosticere: spor af udnyttelse kan forsvinde efter rensning af page cache eller genstart.
Fragnesia dukkede op mindre end en uge efter Dirty Frag. I V12 understreges det, at dette er en separat fejl inden for samme angrebsflade – ESP/XFRM – og ikke en omdøbning af et allerede rettet sårbarhed. Phoronix bemærker også, at der på publiceringstidspunktet var et proof-of-concept tilgængeligt, og rettelsen bestod af en lille patch til net/core/skbuff.c, som endnu ikke var blevet incorporeret i de primære kernegrene.
Canonical har tildelt CVE-2026-46300 høj prioritet til Ubuntu og angivet årsagen som „triviel lokal privilegiet escalation“. På Ubuntu Security-siden for de berørte kerner blev status på opdateringsdatoen den 13. maj angivet som „Needs evaluation“, og det nævnes separat, at problemet også findes i kerne ESP-modulet og midlertidigt kan afhjælpes på samme måde som Dirty Frag.
Debian Security Tracker markerede ved kontrol sårbare kerner i grene som bullseye, bookworm, trixie, forky og sid; for linux-pakken i unstable var den fixerede version endnu ikke angivet.
Den midlertidige beskyttelsesforanstaltning forbliver den samme som for Dirty Frag: deaktiver modulloading af esp4, esp6 og rxrpc, hvis de ikke er nødvendige for systemet. Dette kan forstyrre arbejdet med IPsec-tunneler på noder, hvor kernel ESP, strongSwan, Libreswan eller lignende konfigurationer bruges, så på VPN-gateways bør denne foranstaltning kun anvendes efter at have vurderet konsekvenserne.
Eksempel på midlertidig afbødning for administratorer:
sudo sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf" sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true
Hvis der er begrundet mistanke om, at systemet allerede kan være blevet angrebet, er det ikke tilstrækkeligt blot at blokere moduler: da den offentlige demonstration ændrer den udførbare fil netop i page cache, anbefaler administratorer at rydde page cache eller genstarte systemet efter at have truffet beskyttelsesforanstaltninger. CloudLinux angiver direkte, at efter udnyttelse kan /usr/bin/su forblive ændret i hukommelsen, indtil de relevante sider bliver udskiftet.
For at fjerne den midlertidige regel efter installation af den retta kerne kan den oprettede fil fjernes:
sudo rm /etc/modprobe.d/dirtyfrag.conf
Hovedanbefalingen forbliver standard: installer den rettede kerne fra din distribution og genstart systemet. Inden opdateringen udgør multi-bruger servere, CI-runners, shared hosting, container build-gårde og alle maskiner, hvor ikke-privilegerede eller delvist betroede brugere kan udføre lokal kode, den største risiko.
Kilde: linux.org.ru
