Linuxis on avastatud uus LPE-haavatavus Fragnesia, mis võimaldab kohalikel kasutajatel saada root-juurdepääsu.

Linuxi tuumas avastati uus kohalikuks õiguste tõstmiseks mõeldud haavatavus, mille nimeks on Fragnesia ja identifikaator CVE-2026-46300. Probleem kuulub samasse rünnakute klassi page cache'i osas nagu hiljuti arutatud Copy Fail ja Dirty Frag, kuid ei ole vana vea korduvavaldamine: tegemist on eraldi defektiga koodis XFRM ESP-in-TCP.

Haavatavuse avastas uurija William Bowling V12 Security meeskonnast. . Avaldatud kirjelduse kohaselt võimaldab Fragnesia mittesoovitatud kohalikel kasutajatel muuta ainult lugemiseks mõeldud failide sisu mälu page cache'is ning seeläbi käivitada koodi root'i õigustes. Erinevalt paljusid vanemaid LPE eksploiditud, ei vaja rünnak võidujooksu ja on uurijate poolt kirjeldatud kui määratletud.. Avaldatud kirjelduse kohaselt võimaldab Fragnesia mitteprivileegitud kohalikel kasutajatel muuta ainult lugemiseks saadavalate failide sisu page cache'is, võimaldades seeläbi koodi käivitamist root-i õigustes. Erinevalt paljusid vanadest LPE ekspluatatsioonidest, ei nõua rünnak võistlust ja uurijate sõnul on see determiniistlik.

Tehniline probleem seisneb selles, et võrgu puhvrid ühendades võis tuum kaotada märgi, et andmefragment on "ühine" ja seotud välise mälu lehega, sealhulgas page cache'iga. Pakutud patch'is on see kirjeldatud vea kujul skb_try_coalesce(): paged fragmentide üleviimisel ühest sk_buff'ist teise ei säilinud lipp SKBFL_SHARED_FRAG. Selle tulemusena võis hiljem kodeeritud ESP ekslikult pidada puhvrid muudetavaks.

Praktiline efekt seisneb selles, et andmed, mis olid varem TCP-järjekorda aknast saadetud, võisid pärast sokli vahetamist espintcp režiimi kirja pandud koodi töötlemise käigus tuuma poolt ESP-salattekstina käsitletud. AES-GCM-dekrüpteerimise käigus muudetakse bait otse page cache'is, mis on seotud failiga. See ei muuda faili kettal, kuid muudab selle esitlust mälus kuni lehe kütusevahetuseni.

Avaldatud rünnaku demotesioonis kasutati sihtmärgina /usr/bin/su: eksploit muutis binaarfaili esimesi baite page cache'is ja seejärel käivitas muudetud mälu koopiana, saades root õigustega shell'i. Algne fail kettal jäi seejuures muutumatuks, mis teeb probleemi diagnoosimise eriti keeruliseks: ekspluateerimise jäljed võivad kaduda pärast page cache'i puhastamist või taaskäivitamist.

Fragnesia ilmnes vähem kui nädal pärast Dirty Frag'i. V12 rõhutab, et see on eraldi viga samas rünnaku pinnas — ESP/XFRM, — mitte juba parandatud haavatavuse ümbernimetamine. Phoronix märgib ka, et avaldamise ajal oli olemas tõend konseptsiooni kohta, ning parandus oli väike patch net/core/skbuff.c, mis ei jõudnud kohe põhivõrkudesse.

Canonical määras CVE-2026-46300 kõrge prioriteedi Ubuntu jaoks, öeldes põhjuseks «triviaalne kohalik privileegide tõus». Ubuntu turvalisuse lehelt mõjutatud tuumade osas oli 13. mai uuenduse seisund «Vajad hindamist», ning märkuses öeldakse eraldi, et probleem on samuti ESP-mooduli tuumas ja võib olla ajutiselt leevendatud sama viisi abil nagu Dirty Frag.

Debian Security Tracker kontrollimise hetkeks olid haavatavad tuumad tähistatud haruates bullseye, bookworm, trixie, forky ja sid; linuxi paketi jaoks unstable'is pole kindlat versiooni veel määratud.

Ajutine kaitsemeede jääb samaks kui Dirty Frag jaoks: keela moodulite laadimine esp4, esp6 ja rxrpc, kui need ei ole süsteemile vajalikud. See võib rikkuda IPsec-tunnelite toimimist nodides, kus kasutatakse kernel ESP, strongSwan, Libreswan või sarnaseid konfiguratsioone, seetõttu tuleb VPN-lüüsidel sellist meedet rakendada ainult pärast tagajärgede hindamist.

Ajutise leevenduse näide administraatoritele:

sudo sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf" sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

Kui on kahtlus, et süsteem on juba rünnaku all olnud, siis moodulite blokeerimine ei piisa: kuna avalik demonstreerimine muudab täpselt page cache'is teostusfaili, soovitavad administraatorid puhastada leheküljekesi või taaskäivitada süsteem pärast kaitsemeetmete rakendamist. CloudLinux rõhutab, et pärast /usr/bin/su kasutamist võib mälu jääda muutunuks kuni vastavate lehekülgede välja tõstmiseni.

Ajutise reegli eemaldamiseks pärast parandatud tuuma installimist võite kustutada loodud faili:

sudo rm /etc/modprobe.d/dirtyfrag.conf

Peamine soovitus jääb tavaliseks: installida taastatud tuum oma distributsioonilt ja taaskäivitada süsteem. Enne värskendamist on suurim risk mitme kasutaja serveridel, CI-jooksjatel, jagatud hostimisel, konteinerite ehitustalude ja kõigi masinate puhul, kus tavakasutajad või osaliselt usaldusväärsed kasutajad saavad käivitada kohalikke koode.

Allikas: linux.org.ru