Linuxis avastati uus LPE haavatavus Fragnesia, mis võimaldab kohalikul kasutajal saada root-õigused

Linuxi tuumoris avastati uus kohalik tõhususe suurendamise haavatavus, mille nimi on Fragnesia ja identifikaator CVE-2026-46300. Probleem kuulub samasse rünnakute klassi page cache'is, nagu hiljuti arutatud Copy Fail ja Dirty Frag, kuid ei ole vana vea korduspublikatsioon: siin räägime eraldi puudusest koodis XFRM ESP-in-TCP.

Haavatavuse avastas uurija William Bowling V12 Security meeskonnast . Avaldatud kirjelduse kohaselt võimaldab Fragnesia mitteprivilegeeritud kohalikel kasutajatel muuta ainult lugemiseks mõeldud failide sisu page cache'is ja selle tõttu käivitada koodi root'i õigustega. Erinevalt paljusid vanadest LPE-exploit'idest ei vaja rünnak võidu ja uurijate sõnul on see määratletud kui deterministlik.Tehniliselt on probleem seotud sellega, et võrgu puhversüsteeme ühendades võis tuum kaotada märgi, et andmefragment on "ühine" ja seotud välise mälu lehega, sealhulgas page cache'iga. Pakutud plaastris on see kirjeldatud kui viga skb_try_coalesce(): kui paged fragments kantakse ühest sk_buff'ist teise, ei säilitatud flag'i SKBFL_SHARED_FRAG. Seetõttu võis hilisem ESP kood ekslikult arvata, et puhver on muutmiseks ohutu.

Kasutuslik efekt seisneb selles, et andmed, mis pandi varem TCP-järjekorda failist, võisid pärast sokli lülitamist espintcp-režiimi tuuma poolt ESP-šifritena töödelda. AES-GCM dekrüpteerimisel muutsid baitide otseselt page cache'is lehega seotud failis. See ei muuda faili ketas, kuid muudab selle esitlemist mälus kuni lehe väljaviskamiseni vahemälust.

Avaldatud rünnaku demonstreerimisel kasutati sihtmärkidena "/usr/bin/su": exploit muutsid binaarfaili esimesi bite page cache'is ja seejärel käivitasid muudetud mälus koopia, saades shell'i root'i õigustega. Algne fail ketas jäi samas muutumatuks, mis muudab probleemi diagnostika jaoks eriti ebameeldivaks: ekspluateerimisjäljed võivad pärast page cache'i puhastamist või taaskäivitamist kaduda.

Käideldud, et see muutsid binaarfaili esimesed bite page cache'is ja seejärel käivitasid muudetud mälu koopia, saades shell'i root'i õigustega. Algne fail ketas jäi samas muutumatuks, mis muudab probleemi diagnostika jaoks eriti ebameeldivaks: ekspluateerimisjäljed võivad pärast page cache'i puhastamist või taaskäivitamist kaduda.

Fragnesia ilmus vähem kui nädal pärast Dirty Frag'i. V12 rõhutab, et see on eraldi viga samas ründetüübis — ESP/XFRM, — mitte juba parandatud haavatavuse ümbernimetamine. Phoronix märkis ka, et artikli avaldamise ajal oli olemas tõendi mõisted, ja parandus koosnes väikesest plaastrist faili net/core/skbuff.c, mis ei ole kohe peamistes tuhanidesse jõudnud.

Canonical määras CVE-2026-46300 kõrge prioriteedi Ubuntu jaoks, tuues välja põhjuseks "triviaalse kohaliku õiguste tõusu". Ubuntu Turvateenuste lehelt, mis käsitleb puudutatud kernaleid, oli 13. mai seisuga märgitud olek "Vajab hindamist", ning märkuses öeldi eraldi, et probleem esineb ka kernel ESP-modulis ja seda saab ajutiselt leevendada sama meetodiga nagu Dirty Frag.

Debian Security Tracker kontrollimise ajal märkis, et bullseye, bookworm, trixie, forky ja sid harude kernelid on haavatavad; unstable'i linux paketi jaoks ei olnud fikseeritud versioon veel määratud.

Ajutine kaitsemeede jääb samaks nagu Dirty Frag'i puhul: keelata moodulite laadimine esp4, esp6 ja rxrpc, kui need pole süsteemile vajalikud. See võib rikkuda IPsec tünnide toimimist masinates, kus kasutatakse kernel ESP, strongSwan, Libreswan või sarnaseid konfiguratsioone, seetõttu tuleks VPN-käikude puhul seda meedet kasutada alles pärast tagajärgede hindamist.

Ajutine leevenduse näide administraatoritele:

sudo sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf" sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

Kui on kahtlus, et süsteem on juba rünnaku all olnud, siis moodulite blokeerimine ei piisa: kuna avalik demonstraatsioon muudab täpselt tegevfaili page cache'is, soovitavad administraatorid puhastada lehe vahemälu või süsteemi taaskäivitada pärast kaitsemeetmete rakendamist. CloudLinux märgib selgelt, et pärast ekspluateerimist võib /usr/bin/su jääda mällu muudetuks kuni vastavate lehtede väljaheitlemiseni.

Ajutise reegli eemaldamiseks pärast fikseeritud kerneli installimist saab eemaldada loodud faili:

sudo rm /etc/modprobe.d/dirtyfrag.conf

Peamine soovitus jääb standardseks: installige oma levituste korrigeeritud kernel ja taaskäivitage süsteem. Enne värskendamist on suurima riski all mitme kasutaja serverid, CI-jooksjad, jagatud majutus, konteinerite ehitusfarmid ja kõik masinad, kus mitteprivilegeeritud või osaliselt usaldusväärsed kasutajad saavad käitada kohalikke koode.

Allikas: linux.org.ru