È stata scoperta una nuova vulnerabilità nel kernel di Linux per l'elevazione locale dei privilegi, chiamata Fragnesia e identificata con CVE-2026-46300. Il problema appartiene alla stessa categoria di attacchi al page cache, come i recentemente discussi Copy Fail e Dirty Frag, ma non è una ripubblicazione di un errore precedente: si tratta di un difetto separato nel codice XFRM ESP-in-TCP.
La vulnerabilità è stata scoperta dal ricercatore William Bowling del team V12 Security. Secondo la descrizione pubblicata, Fragnesia consente a un utente locale non privilegiato di modificare il contenuto di file accessibili solo in lettura, nella memoria del page cache e, grazie a ciò, eseguire codice con i diritti di root. A differenza di molti vecchi exploit LPE, l'attacco non richiede competizione ed è descritto dai ricercatori come deterministico.
Il problema tecnico è legato al fatto che durante la fusione dei buffer di rete, il kernel potrebbe aver perso il segno che un frammento di dati è "condiviso" e associato a una pagina di memoria esterna, incluso il page cache. Nel patch proposto, questo è descritto come un errore in skb_try_coalesce(): durante lo spostamento dei frammenti paginati da un sk_buff all'altro, non veniva mantenuto il flag SKBFL_SHARED_FRAG. Di conseguenza, il codice successivo ESP potrebbe erroneamente considerare il buffer sicuro per la modifica.
L'effetto pratico è che i dati, precedentemente inseriti nella coda TCP da un file, dopo aver commutato il socket in modalità espintcp, potevano essere elaborati dal kernel come cifrato ESP. Durante la decrittazione AES-GCM, i byte venivano modificati direttamente nella pagina del page cache associata al file. Questo non cambia il file su disco, ma altera la sua rappresentazione in memoria fino a quando la pagina non viene espulsa dalla cache.
Nella demo pubblicata dell'attacco, il bersaglio utilizzato era /usr/bin/su: l'exploit modificava i primi byte del file binario nella page cache e poi avviava una copia modificata in memoria, ottenendo una shell con diritti di root. Il file originale sul disco rimaneva inalterato, il che rende il problema particolarmente difficile da diagnosticare: le tracce dell'exploit possono scomparire dopo la pulizia della page cache o il riavvio.
Fragnesia è emersa meno di una settimana dopo Dirty Frag. In V12 si sottolinea che si tratta di un errore distinto nella stessa superficie d'attacco — ESP/XFRM — e non di un rinominamento di una vulnerabilità già corretta. Phoronix nota anche che al momento della pubblicazione era disponibile un proof-of-concept e la correzione consisteva in una piccola patch a net/core/skbuff.c, che non era ancora stata immediatamente inclusa nei rami principali del kernel.
Canonical ha assegnato CVE-2026-46300 alta priorità per Ubuntu, indicando come motivo «escalation di privilegio locale banale». Nella pagina di sicurezza di Ubuntu per i kernel interessati, al momento dell'aggiornamento del 13 maggio, lo stato era «Needs evaluation», e nella nota è specificato che il problema è presente anche nel modulo ESP del kernel e può temporaneamente essere mitigato nello stesso modo di Dirty Frag.
Debian Security Tracker Al momento della verifica, sono stati contrassegnati come vulnerabili i kernel nelle versioni bullseye, bookworm, trixie, forky e sid; per il pacchetto linux in unstable non è ancora stata indicata una versione correttiva.
La misura temporanea di protezione rimane la stessa di Dirty Frag: disattivare il caricamento dei moduli esp4, esp6 e rxrpc, se non necessari al sistema. Questo potrebbe compromettere il funzionamento dei tunnel IPsec sui nodi che utilizzano kernel ESP, strongSwan, Libreswan o configurazioni simili, quindi su gateway VPN è necessario applicare tale misura solo dopo aver valutato le conseguenze.
Esempio di attenuazione temporanea per gli amministratori:
sudo sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf" sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true
Se si sospetta che il sistema possa già essere stato attaccato, la sola disattivazione dei moduli non è sufficiente: poiché la dimostrazione pubblica modifica il file eseguibile proprio nella cache delle pagine, si consiglia agli amministratori di svuotare la cache delle pagine o riavviare il sistema dopo aver applicato le misure di protezione. CloudLinux specifica che, dopo l'esecuzione, /usr/bin/su potrebbe rimanere modificato in memoria fino a quando le pagine corrispondenti non vengono scaricate.
Per rimuovere la regola temporanea dopo l'installazione del kernel corretto, è possibile eliminare il file creato:
sudo rm /etc/modprobe.d/dirtyfrag.conf
La raccomandazione principale rimane la stessa: installare il kernel corretto per la propria distribuzione e riavviare il sistema. Prima dell'aggiornamento, il rischio maggiore riguarda i server multiutente, i runner CI, l'hosting condiviso, le farm di build container e qualsiasi macchina in cui utenti non privilegiati o parzialmente fidati possano eseguire codice locale.
Fonte: linux.org.ru
