Se ha identificado una cuarta vulnerabilidad en el n\u00facleo de Linux (CVE-2026-46300) en las \u00faltimas dos semanas, que permite a un usuario sin privilegios obtener derechos de root al sobrescribir datos en la cach\u00e9 de p\u00e1gina. A esta vulnerabilidad se le ha asignado el nombre en c\u00f3digo Fragnesia o Copy Fail 3.0. La naturaleza de la vulnerabilidad es similar a las vulnerabilidades previamente divulgadas Copy Fail y Dirty Frag. Al igual que en el caso de Dirty Frag, la nueva vulnerabilidad est\u00e1 presente en el subsistema xfrm-ESP, pero es causada por un error diferente y requiere una correcci\u00f3n separada. Se dispone de un exploit funcional. <\/p>\n
La vulnerabilidad se manifiesta en los n\u00facleos de Linux lanzados despu\u00e9s del 5 de mayo, debido a la activaci\u00f3n accidental por la correcci\u00f3n de la vulnerabilidad Dirty Frag. Para abordar la vulnerabilidad Fragnesia, se propuso un parche para el n\u00facleo de Linux. Sin embargo, el an\u00e1lisis de este parche mostr\u00f3 que era insuficiente, lo que llev\u00f3 a la preparaci\u00f3n de una segunda versi\u00f3n del parche. <\/p>\n
La vulnerabilidad est\u00e1 presente en el subsistema xfrm en la implementaci\u00f3n del mecanismo de encapsulaci\u00f3n del protocolo ESP (Encapsulating Security Payload) en TCP (ESP-in-TCP, RFC 8229), utilizado para el t\u00fanel de tr\u00e1fico IPsec sobre TCP. Para evitar el exceso de almacenamiento en b\u00fafer, las operaciones que usan el algoritmo AES-GCM se llevaron a cabo en su sitio mediante la ejecuci\u00f3n de operaciones XOR sobre los datos en la cach\u00e9 de p\u00e1gina. Debido a un error l\u00f3gico, se generaban condiciones que permit\u00edan sobrescribir 1 byte en la cach\u00e9 de p\u00e1gina en un desplazamiento seleccionado. Al repetir las operaciones, se puede cambiar byte por byte el contenido de cualquier archivo en la cach\u00e9 de p\u00e1gina. <\/p>\n
Todas las operaciones de lectura desde archivos primero devuelven el contenido de la cach\u00e9 de p\u00e1ginas. En caso de modificar los datos en la cach\u00e9 de p\u00e1ginas, las operaciones de lectura desde el archivo devolver\u00e1n informaci\u00f3n que no est\u00e1 realmente almacenada en el dispositivo, sino datos alterados. La explotaci\u00f3n de la vulnerabilidad se reduce a cambiar la cach\u00e9 de p\u00e1ginas para un archivo ejecutable con el flag suid root, previamente le\u00eddo para ser almacenado en la cach\u00e9 de p\u00e1ginas. En el exploit propuesto por los investigadores, los primeros 192 bytes del archivo \/usr\/bin\/su en la cach\u00e9 de p\u00e1ginas se sobrescriben con c\u00f3digo para iniciar \/usr\/bin\/sh. La posterior ejecuci\u00f3n de la utilidad 'su' resultar\u00e1 en que se cargue en memoria no el archivo ejecutable original desde el dispositivo, sino una copia modificada de la cach\u00e9 de p\u00e1ginas. <\/p>\n
Para explotar la vulnerabilidad Fragnesia, el sistema debe permitir la creaci\u00f3n de espacios de nombres de identificadores de usuarios (user namespace). En Ubuntu, tal operaci\u00f3n est\u00e1 deshabilitada por defecto, pero puede habilitarse mediante sysctl 'kernel.apparmor_restrict_unprivileged_userns=0' o perfiles de AppArmor. En otras distribuciones, la disponibilidad del 'user namespace' para usuarios no privilegiados depende de la configuraci\u00f3n de sysctl 'kernel.unprivileged_userns_clone' (si es 0, est\u00e1 prohibido). <\/p>\n
Las actualizaciones con correcciones para el n\u00facleo de Linux y los paquetes del n\u00facleo en las distribuciones a\u00fan no se han publicado. El estado de la reparaci\u00f3n de vulnerabilidades en las distribuciones se puede evaluar en las siguientes p\u00e1ginas: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch, Fedora. Como soluci\u00f3n provisional de protecci\u00f3n, se pueden bloquear la carga de los m\u00f3dulos del n\u00facleo esp4 y esp6: <\/p>\n