Une quatri\u00e8me vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans le noyau Linux au cours des deux derni\u00e8res semaines (CVE-2026-46300), permettant \u00e0 un utilisateur non privil\u00e9gi\u00e9 d'obtenir des droits root en \u00e9crasant des donn\u00e9es dans le cache de pages. Cette vuln\u00e9rabilit\u00e9 a re\u00e7u le nom de code Fragnesia ou Copy Fail 3.0. La nature de cette vuln\u00e9rabilit\u00e9 est similaire \u00e0 celles pr\u00e9c\u00e9demment r\u00e9v\u00e9l\u00e9es, \u00e0 savoir Copy Fail et Dirty Frag. Comme pour Dirty Frag, cette nouvelle vuln\u00e9rabilit\u00e9 est pr\u00e9sente dans le sous-syst\u00e8me xfrm-ESP, mais est caus\u00e9e par une autre erreur et n\u00e9cessite un correctif s\u00e9par\u00e9. Un exploit fonctionnel est disponible. <\/p>\n
La vuln\u00e9rabilit\u00e9 se manifeste dans les noyaux Linux publi\u00e9s apr\u00e8s le 5 mai, \u00e0 la suite de l'activation accidentelle du correctif de la vuln\u00e9rabilit\u00e9 Dirty Frag. Un correctif a \u00e9t\u00e9 propos\u00e9 pour rem\u00e9dier \u00e0 la vuln\u00e9rabilit\u00e9 Fragnesia pour le noyau Linux. L'analyse de ce correctif a montr\u00e9 qu'il \u00e9tait insuffisant, ce qui a conduit \u00e0 la pr\u00e9paration d'une deuxi\u00e8me version du patch. <\/p>\n
La vuln\u00e9rabilit\u00e9 est pr\u00e9sente dans le sous-syst\u00e8me xfrm dans l'impl\u00e9mentation du m\u00e9canisme d'encapsulation du protocole ESP (Encapsulating Security Payload) dans TCP (ESP-in-TCP, RFC 8229), utilis\u00e9e pour le tunnelage du trafic IPsec au-dessus de TCP. Pour \u00e9viter une mise en tampon excessive, les op\u00e9rations utilisant l'algorithme AES-GCM \u00e9taient effectu\u00e9es sur place en ex\u00e9cutant une op\u00e9ration XOR sur les donn\u00e9es dans le cache de pages. En raison d'une erreur logique, des conditions ont \u00e9t\u00e9 cr\u00e9\u00e9es permettant de r\u00e9\u00e9crire 1 octet dans le cache de pages \u00e0 un d\u00e9calage choisi. En r\u00e9p\u00e9tant ces op\u00e9rations, il est possible de modifier, octet par octet, le contenu de n'importe quel fichier dans le cache de pages. <\/p>\n
Toutes les op\u00e9rations de lecture de fichiers r\u00e9cup\u00e8rent d'abord le contenu dans le cache de pages. En cas de modification des donn\u00e9es dans le cache de pages, les op\u00e9rations de lecture de fichiers renverront des informations qui ne sont pas r\u00e9ellement stock\u00e9es sur le disque, mais des donn\u00e9es falsifi\u00e9es. L'exploitation de la vuln\u00e9rabilit\u00e9 consiste \u00e0 modifier le cache de pages pour un fichier ex\u00e9cutable avec le drapeau suid root, pr\u00e9c\u00e9demment lu pour \u00eatre plac\u00e9 dans le cache de pages. Dans l'exploit propos\u00e9 par les chercheurs, les 192 premiers octets du fichier \/usr\/bin\/su dans le cache de pages sont \u00e9cras\u00e9s par le code pour lancer \/usr\/bin\/sh. Le lancement ult\u00e9rieur de l'utilitaire \u00ab su \u00bb entra\u00eene le chargement en m\u00e9moire non pas du fichier ex\u00e9cutable original depuis le disque, mais d'une copie modifi\u00e9e \u00e0 partir du cache de pages. <\/p>\n
Pour exploiter la vuln\u00e9rabilit\u00e9 Fragnesia, la cr\u00e9ation d'espaces de noms d'identifiants d'utilisateurs (user namespace) doit \u00eatre autoris\u00e9e dans le syst\u00e8me. Sous Ubuntu, cette op\u00e9ration est d\u00e9sactiv\u00e9e par d\u00e9faut, mais peut \u00eatre autoris\u00e9e via sysctl \u00ab kernel.apparmor_restrict_unprivileged_userns=0 \u00bb ou des profils AppArmor. Dans d'autres distributions, l'accessibilit\u00e9 du \u00ab user namespace \u00bb aux utilisateurs non privil\u00e9gi\u00e9s d\u00e9pend de la configuration de sysctl \u00ab kernel.unprivileged_userns_clone \u00bb (si 0, c'est interdit). <\/p>\n
Les mises \u00e0 jour avec des correctifs pour le noyau Linux et les paquets du noyau dans les distributions n'ont pas encore \u00e9t\u00e9 publi\u00e9es. Le statut des corrections de vuln\u00e9rabilit\u00e9s dans les distributions peut \u00eatre \u00e9valu\u00e9 sur ces pages : Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch, Fedora. Comme solution de contournement, il est possible de bloquer le chargement des modules du noyau esp4 et esp6 : <\/p>\n