Im Linux-Kernel wurde die vierte Schwachstelle in den letzten zwei Wochen entdeckt (CVE-2026-46300), die es einem nicht privilegierten Benutzer ermöglicht, Root-Rechte zu erlangen, indem er Daten im Seitencache überschreibt. Der Schwachstelle wurde der Codename Fragnesia oder Copy Fail 3.0 zugewiesen. Die Natur der Schwachstelle ähnelt zuvor aufgedeckten Schwachstellen wie Copy Fail und Dirty Frag. Wie bei Dirty Frag ist die neue Schwachstelle im xfrm-ESP-Subsystem vorhanden, wird jedoch durch einen anderen Fehler verursacht und benötigt eine separate Korrektur. Ein funktionsfähiger Exploit ist verfügbar.
Die Schwachstelle tritt in Linux-Kernen auf, die nach dem 5. Mai veröffentlicht wurden, aufgrund einer versehentlichen Aktivierung durch das Patchen der Schwachstelle Dirty Frag. Um die Schwachstelle Fragnesia im Linux-Kernel zu beheben, wurde ein Fix vorgeschlagen. Die Analyse dieses Fixes hat ergeben, dass er unzureichend ist, woraufhin eine zweite Version des Patches vorbereitet wurde.
Die Sicherheitsanfälligkeit besteht im xfrm-Subsystem der Implementierung des Mechanismus zur Kapselung des ESP-Protokolls (Encapsulating Security Payload) in TCP (ESP-in-TCP, RFC 8229), der zur Tunnelung von IPsec-Datenverkehr über TCP verwendet wird. Für Ausnahmen aus der übermäßigen Pufferung wurden Operationen mit dem AES-GCM-Algorithmus direkt ausgeführt, indem die XOR-Operation auf die Daten im Seiten-Cache angewendet wurde. Aufgrund eines logischen Fehlers entstanden Bedingungen, die es ermöglichten, ein Byte im Seiten-Cache an einer gewählten Offset-Position zu überschreiben. Durch wiederholte Operationen kann der Inhalt einer beliebigen Datei im Seiten-Cache Byte für Byte verändert werden.
Alle Leseoperationen von Dateien geben zuerst den Inhalt aus dem Seiten-Cache zurück. Im Falle einer Modifikation der Daten im Seiten-Cache führen Leseoperationen von Dateien dazu, dass nicht tatsächlich auf dem Speicher gespeicherte Informationen, sondern manipulierte Daten zurückgegeben werden. Der Missbrauch der Schwachstelle besteht darin, den Seiten-Cache für eine ausführbare Datei mit dem suid root-Flag zu verändern, die zuvor zum Seiten-Cache gelesen wurde. Im von den Forschern vorgeschlagenen Exploit werden die ersten 192 Bytes der Datei /usr/bin/su im Seiten-Cache durch Code ersetzt, um /usr/bin/sh auszuführen. Der anschließende Aufruf des „su“-Hilfsprogramms führt dazu, dass nicht die originale ausführbare Datei vom Speicher, sondern eine veränderte Kopie aus dem Seiten-Cache in den Speicher geladen wird.
Um die Fragnesia-Sicherheitsanfälligkeit auszunutzen, muss die Erstellung von Benutzer-Namensräumen (user namespace) im System erlaubt sein. In Ubuntu ist diese Operation standardmäßig untersagt, kann jedoch über den sysctl „kernel.apparmor_restrict_unprivileged_userns=0“ oder über AppArmor-Profile aktiviert werden. In anderen Distributionen hängt die Verfügbarkeit des Benutzer-Namensraums für privilegierte Benutzer davon ab, ob der sysctl „kernel.unprivileged_userns_clone“ auf 1 eingestellt ist (bei 0 ist es verboten).
Updates mit Korrekturen für den Linux-Kernel und Kernel-Pakete in den Distributionen sind momentan noch nicht veröffentlicht. Den Status der Behebung der Sicherheitsanfälligkeiten in den Distributionen können Sie auf diesen Seiten überprüfen: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. Als vorübergehende Schutzmaßnahme können Sie die Ladung der Kernel-Module esp4 und esp6 blockieren:
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 2>/dev/null; true"
Quelle: opennet.ru
