{"id":170863,"date":"2026-05-18T12:24:54","date_gmt":"2026-05-18T10:24:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root"},"modified":"2026-05-18T12:24:54","modified_gmt":"2026-05-18T10:24:54","slug":"v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root","title":{"rendered":"In Linux wurde eine neue LPE-Sicherheitsanf\u00e4lligkeit namens Fragnesia entdeckt, die es einem lokalen Benutzer erm\u00f6glicht, Root-Rechte zu erlangen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Linux-Kernel wurde eine neue Schwachstelle f\u00fcr lokale Privilegien eskalieren entdeckt, die den Namen Fragnesia<\/strong> und die Kennung CVE-2026-46300<\/strong>. Das Problem geh\u00f6rt zur gleichen Angriffsgruppe auf den Page Cache wie die j\u00fcngst diskutierten Copy Fail und Dirty Frag, ist jedoch keine Wiederver\u00f6ffentlichung eines alten Fehlers: Es handelt sich um einen spezifischen Defekt im Code von XFRM ESP-in-TCP<\/strong>.<\/p>\n

. Die Schwachstelle wurde von dem Forscher William Bowling<\/strong> aus dem Team V12 Security<\/strong>. Laut der ver\u00f6ffentlichten Beschreibung erm\u00f6glicht Fragnesia einem unprivilegierten lokalen Benutzer, den Inhalt von nur lesbaren Dateien im Page Cache zu \u00e4ndern und dadurch Code mit Root-Rechten auszuf\u00fchren. Im Gegensatz zu vielen alten LPE-Exploits erfordert der Angriff kein Rennen und wird von den Forschern als deterministisch beschrieben.<\/p>\n

Das technische Problem h\u00e4ngt damit zusammen, dass beim Zusammenf\u00fchren von Netzwerkpuffern der Kernel das Merkmal verlieren konnte, dass ein Datenfragment \"gemeinsam\" ist und mit einer externen Speicherseite, einschlie\u00dflich des Page Caches, verbunden ist. Im vorgeschlagenen Patch wird dies als Fehler in skb_try_coalesce() beschrieben: Beim \u00dcbertragen von paginierten Fragmenten von einem sk_buff zu einem anderen wurde das Flag SKBFL_SHARED_FRAG nicht beibehalten. Infolgedessen konnte sp\u00e4terer ESP-Code f\u00e4lschlicherweise annehmen, dass der Puffer sicher zur Modifikation war.<\/p>\n

Die praktische Auswirkung besteht darin, dass Daten, die zuvor aus einer Datei in die TCP-Warteschlange eingef\u00fcgt wurden, nach dem Wechsel des Sockets in den Modus espintcp vom Kernel als ESP-verschl\u00fcsselter Text behandelt werden konnten. Bei der Entschl\u00fcsselung von AES-GCM wurden die Bytes direkt im Page Cache, der mit der Datei verbunden ist, ge\u00e4ndert. Dies \u00e4ndert die Datei auf der Festplatte nicht, beeinflusst jedoch ihre Darstellung im Speicher, bis die Seite aus dem Cache verdr\u00e4ngt wird.<\/p>\n

In der ver\u00f6ffentlichten Angriffsdemonstration wurde \/usr\/bin\/su als Ziel verwendet: Der Exploit modifizierte die ersten Bytes der Bin\u00e4rdatei im Page-Cache und startete dann eine ge\u00e4nderte Kopie im Arbeitsspeicher, wodurch eine Shell mit Root-Rechten erlangt wurde. Die Originaldatei auf der Festplatte blieb dabei unver\u00e4ndert, was das Problem besonders unangenehm f\u00fcr die Diagnose macht: Spuren des Exploits k\u00f6nnen nach dem Leeren des Page-Caches oder einem Neustart verschwinden.<\/p>\n

Fragnesia tauchte weniger als eine Woche nach Dirty Frag auf. In V12 wird betont, dass es sich um einen separaten Fehler an derselben Angriffsoberfl\u00e4che \u2013 ESP\/XFRM \u2013 handelt, und nicht um eine Umbenennung einer bereits behobenen Verwundbarkeit. Phoronix weist ebenfalls darauf hin, dass zum Zeitpunkt der Ver\u00f6ffentlichung ein Proof-of-Concept verf\u00fcgbar war und der Fix ein kleiner Patch f\u00fcr net\/core\/skbuff.c war, der noch nicht sofort in die Hauptzweige des Kernels aufgenommen wurde.<\/p>\n

<\/p>\n

Canonical hat CVE-2026-46300<\/a> hohe Priorit\u00e4t f\u00fcr Ubuntu zugewiesen und als Grund \"triviale lokale Privilegieneskalation\" angegeben. Auf der Ubuntu-Sicherheitsseite f\u00fcr die betroffenen Kernel wurde zum Zeitpunkt des Updates am 13. Mai der Status \"Needs evaluation\" angegeben, und in einer Anmerkung wird separat erw\u00e4hnt, dass das Problem auch im ESP-Modul des Kernels vorhanden ist und vor\u00fcbergehend auf die gleiche Weise wie bei Dirty Frag gemildert werden kann.<\/p>\n

<\/noindex><\/noindex> <\/p>\n

Debian Security Tracker<\/a> Zum Zeitpunkt der \u00dcberpr\u00fcfung wurden die Kerne in den Zweigen bullseye, bookworm, trixie, forky und sid als anf\u00e4llig markiert; f\u00fcr das Paket linux in unstable wurde noch keine feste Version angegeben.<\/p>\n

<\/noindex> <\/p>\n

Die vorl\u00e4ufige Sicherheitsma\u00dfnahme bleibt dieselbe wie bei Dirty Frag: das Laden von Modulen<\/a> esp4, esp6 und rxrpc zu deaktivieren, wenn sie f\u00fcr das System nicht erforderlich sind. Dies kann die Funktion von IPsec-Tunneln auf Knoten beeintr\u00e4chtigen, an denen kernel ESP, strongSwan, Libreswan oder \u00e4hnliche Konfigurationen verwendet werden, daher sollte diese Ma\u00dfnahme auf VPN-Gateways nur nach einer Folgenbewertung angewendet werden.<\/p>\n

<\/noindex> <\/p>\n

Beispiel f\u00fcr vor\u00fcbergehende Minderung f\u00fcr Administratoren:<\/p>\n

sudo sh -c \"printf 'install esp4 \/bin\/falseninstall esp6 \/bin\/falseninstall rxrpc \/bin\/falsen' > \/etc\/modprobe.d\/dirtyfrag.conf\" sudo rmmod esp4 esp6 rxrpc 2>\/dev\/null || true <\/p>\n

Wenn der Verdacht besteht, dass das System bereits angegriffen worden sein k\u00f6nnte, reicht eine Blockade der Module nicht aus: Da die \u00f6ffentliche Demonstration die ausf\u00fchrbare Datei genau im Page Cache \u00e4ndert, empfehlen Administratoren, den Seiten-Cache zu leeren oder das System nach Anwendung der Schutzma\u00dfnahmen neu zu starten. CloudLinux weist ausdr\u00fccklich darauf hin, dass nach der Ausnutzung \/usr\/bin\/su in \u043f\u0430\u043c\u044f\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u043c \u043e\u0441\u0442\u0430\u0432\u0430\u0442\u044c\u0441\u044f \u043c\u043e\u0436\u0435\u0442 \u0434\u043e \u0432\u044b\u0442\u0435\u0441\u043d\u0435\u043d\u0438\u044f \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0445 \u0441\u0442\u0440\u0430\u043d\u0438\u0446.<\/p>\n

Um die tempor\u00e4re Regel nach der Installation des korrigierten Kernels zu entfernen, kann die erstellte Datei gel\u00f6scht werden:<\/p>\n

sudo rm \/etc\/modprobe.d\/dirtyfrag.conf <\/p>\n

Die wichtigste Empfehlung bleibt unver\u00e4ndert: Installieren Sie den korrigierten Kernel von Ihrer Distribution und starten Sie das System neu. Vor dem Update besteht das h\u00f6chste Risiko bei Mehrbenutzerservern, CI-Runnern, Shared Hosting, Container-Build-Farmen und allen Maschinen, auf denen nicht privilegierte oder teilweise vertrauensw\u00fcrdige Benutzer lokalen Code ausf\u00fchren k\u00f6nnen.<\/p>\n

Quelle: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u044f\u0434\u0440\u0435 Linux \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 Fragnesia \u0438 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 CVE-2026-46300. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0442\u043e\u043c\u0443 \u0436\u0435 \u043a\u043b\u0430\u0441\u0441\u0443 \u0430\u0442\u0430\u043a \u043d\u0430 page cache, \u0447\u0442\u043e \u0438 \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043e\u0431\u0441\u0443\u0436\u0434\u0430\u0432\u0448\u0438\u0435\u0441\u044f Copy Fail \u0438 Dirty Frag, \u043d\u043e \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0439 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0435\u0439 \u0441\u0442\u0430\u0440\u043e\u0439 \u043e\u0448\u0438\u0431\u043a\u0438: \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043e\u0431 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u0434\u0435\u0444\u0435\u043a\u0442\u0435 \u0432 \u043a\u043e\u0434\u0435 XFRM ESP-in-TCP. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c William Bowling […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-170863","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Im Linux wurde eine neue LPE-Schwachstelle Fragnesia entdeckt, die es einem lokalen Benutzer erm\u00f6glicht, Root-Rechte zu erhalten | ProHoster","description":"Im Linux-Kernel wurde eine neue Schwachstelle zur lokalen Privilegienerweiterung entdeckt, die den Namen Fragnesia und die ID CVE-2026-46300 tr\u00e4gt. Das Problem geh\u00f6rt zur gleichen Angriffsart auf den Page-Cache wie die k\u00fcrzlich diskutierten Copy Fail und Dirty Frag, ist jedoch keine Wiederver\u00f6ffentlichung eines alten Fehlers: Es handelt sich um einen separaten Defekt im Code von XFRM ESP-in-TCP. Die Schwachstelle wurde von dem Forscher William Bowling entdeckt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 Linux \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u043d\u043e\u0432\u0430\u044f LPE-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c Fragnesia, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c root | ProHoster","og:description":"\u0412 \u044f\u0434\u0440\u0435 Linux \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 Fragnesia \u0438 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 CVE-2026-46300. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0442\u043e\u043c\u0443 \u0436\u0435 \u043a\u043b\u0430\u0441\u0441\u0443 \u0430\u0442\u0430\u043a \u043d\u0430 page cache, \u0447\u0442\u043e \u0438 \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043e\u0431\u0441\u0443\u0436\u0434\u0430\u0432\u0448\u0438\u0435\u0441\u044f Copy Fail \u0438 Dirty Frag, \u043d\u043e \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0439 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0435\u0439 \u0441\u0442\u0430\u0440\u043e\u0439 \u043e\u0448\u0438\u0431\u043a\u0438: \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043e\u0431 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u0434\u0435\u0444\u0435\u043a\u0442\u0435 \u0432 \u043a\u043e\u0434\u0435 XFRM ESP-in-TCP. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c William Bowling","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-18T10:24:54+00:00","article:modified_time":"2026-05-18T10:24:54+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/170863","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=170863"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/170863\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=170863"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=170863"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=170863"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}