Im Linux-Kernel wurde die vierte Schwachstelle in den letzten zwei Wochen entdeckt (CVE-2026-46300), die es einem unprivilegierten Benutzer erm\u00f6glicht, Root-Rechte zu erlangen, indem er Daten im Seiten-Cache \u00fcberschreibt. Der Schwachstelle wurde der Codename Fragnesia oder Copy Fail 3.0 zugewiesen. Der Kern der Schwachstelle ist vergleichbar mit zuvor ver\u00f6ffentlichten Schwachstellen wie Copy Fail und Dirty Frag. Wie im Fall von Dirty Frag tritt die neue Schwachstelle im xfrm-ESP-Subsystem auf, wird jedoch durch einen anderen Fehler verursacht und erfordert eine separate Korrektur. Ein funktionierender Exploit ist verf\u00fcgbar. <\/p>\n
Die Schwachstelle erscheint in Linux-Kerneln, die nach dem 5. Mai ver\u00f6ffentlicht wurden, aufgrund der versehentlichen Aktivierung durch die Korrektur der Dirty Frag-Schwachstelle. Um die Fragnesia-Schwachstelle im Linux-Kernel zu beheben, wurde ein Patch vorgeschlagen. Die Analyse dieses Patches ergab, dass er nicht ausreicht, weshalb eine zweite Patches vorbereitet wurde. <\/p>\n
Die Schwachstelle ist im xfrm-Subsystem in der Implementierung des ESP (Encapsulating Security Payload) Protokolls in TCP (ESP-in-TCP, RFC 8229) vorhanden, das f\u00fcr das Tunneln von IPsec-Verkehr \u00fcber TCP verwendet wird. Um ungerechtfertigte Puffer\u00fcberl\u00e4ufe auszuschlie\u00dfen, wurden Operationen mit dem AES-GCM-Algorithmus durch die Durchf\u00fchrung von XOR-Operationen auf die im Seiten-Cache gespeicherten Daten vor Ort ausgef\u00fchrt. Aufgrund eines logischen Fehlers entstanden Bedingungen, die es erm\u00f6glichten, 1 Byte im Seiten-Cache an einer angegebenen Verschiebung zu \u00fcberschreiben. Durch wiederholtes Ausf\u00fchren der Operationen kann der Inhalt jeder Datei im Seiten-Cache byteweise ver\u00e4ndert werden. <\/p>\n
Alle Leseoperationen aus Dateien liefern zuerst den Inhalt aus dem Seiten-Cache zur\u00fcck. Im Falle einer Modifikation der Daten im Seiten-Cache f\u00fchren Leseoperationen aus der Datei dazu, dass nicht die tats\u00e4chlich auf dem Speicher gespeicherten Informationen zur\u00fcckgegeben werden, sondern modifizierte Daten. Die Ausnutzung der Sicherheitsanf\u00e4lligkeit besteht darin, den Seiten-Cache f\u00fcr die ausf\u00fchrbare Datei mit dem SUID-Root-Flag zu \u00e4ndern, die zuvor gelesen wurde, um in den Seiten-Cache zu gelangen. Im von den Forschern vorgeschlagenen Exploit werden die ersten 192 Bytes der Datei \/usr\/bin\/su im Seiten-Cache durch Code ersetzt, der \/usr\/bin\/sh startet. Der anschlie\u00dfende Aufruf des Utilities \u201esu\u201c f\u00fchrt dazu, dass nicht die originale ausf\u00fchrbare Datei vom Speicher, sondern eine modifizierte Kopie aus dem Seiten-Cache in den Speicher geladen wird. <\/p>\n
F\u00fcr die Ausnutzung der Sicherheitsanf\u00e4lligkeit Fragnesia muss die Erstellung von Benutzer-Namespaces (user namespace) im System erlaubt sein. In Ubuntu ist eine solche Operation standardm\u00e4\u00dfig verboten, kann jedoch durch sysctl \u201ekernel.apparmor_restrict_unprivileged_userns=0\u201c oder AppArmor-Profile erlaubt werden. In anderen Distributionen h\u00e4ngt die Verf\u00fcgbarkeit von \u201euser namespace\u201c f\u00fcr nicht privilegierte Benutzer von der Einstellung des sysctl \u201ekernel.unprivileged_userns_clone\u201c ab (wenn 0, ist es verboten). <\/p>\n
Updates mit Fehlerbehebungen f\u00fcr den Linux-Kernel und Kernel-Pakete in den Distributionen wurden bisher nicht ver\u00f6ffentlicht. Der Status der Behebung der Sicherheitsanf\u00e4lligkeiten in den Distributionen kann auf den folgenden Seiten bewertet werden: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch, Fedora. Als Zwischenl\u00f6sung zum Schutz kann das Laden der Kernel-Module esp4 und esp6 blockiert werden: <\/p>\n