{"id":170863,"date":"2026-05-18T12:24:54","date_gmt":"2026-05-18T10:24:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root"},"modified":"2026-05-18T12:24:54","modified_gmt":"2026-05-18T10:24:54","slug":"v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root","title":{"rendered":"In Linux \u00e8 stata scoperta una nuova vulnerabilit\u00e0 LPE chiamata Fragnesia, che consente a un utente locale di ottenere i privilegi di root.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c8 stata scoperta una nuova vulnerabilit\u00e0 nel kernel di Linux per l'elevazione locale dei privilegi, chiamata Fragnesia<\/strong> e identificata con CVE-2026-46300<\/strong>. Il problema appartiene alla stessa categoria di attacchi al page cache, come i recentemente discussi Copy Fail e Dirty Frag, ma non \u00e8 una ripubblicazione di un errore precedente: si tratta di un difetto separato nel codice XFRM ESP-in-TCP<\/strong>.<\/p>\n

La vulnerabilit\u00e0 \u00e8 stata scoperta dal ricercatore William Bowling<\/strong> del team V12 Security<\/strong>. Secondo la descrizione pubblicata, Fragnesia consente a un utente locale non privilegiato di modificare il contenuto di file accessibili solo in lettura, nella memoria del page cache e, grazie a ci\u00f2, eseguire codice con i diritti di root. A differenza di molti vecchi exploit LPE, l'attacco non richiede competizione ed \u00e8 descritto dai ricercatori come deterministico.<\/p>\n

Il problema tecnico \u00e8 legato al fatto che durante la fusione dei buffer di rete, il kernel potrebbe aver perso il segno che un frammento di dati \u00e8 \"condiviso\" e associato a una pagina di memoria esterna, incluso il page cache. Nel patch proposto, questo \u00e8 descritto come un errore in skb_try_coalesce(): durante lo spostamento dei frammenti paginati da un sk_buff all'altro, non veniva mantenuto il flag SKBFL_SHARED_FRAG. Di conseguenza, il codice successivo ESP potrebbe erroneamente considerare il buffer sicuro per la modifica.<\/p>\n

L'effetto pratico \u00e8 che i dati, precedentemente inseriti nella coda TCP da un file, dopo aver commutato il socket in modalit\u00e0 espintcp, potevano essere elaborati dal kernel come cifrato ESP. Durante la decrittazione AES-GCM, i byte venivano modificati direttamente nella pagina del page cache associata al file. Questo non cambia il file su disco, ma altera la sua rappresentazione in memoria fino a quando la pagina non viene espulsa dalla cache.<\/p>\n

Nella demo pubblicata dell'attacco, il bersaglio utilizzato era \/usr\/bin\/su: l'exploit modificava i primi byte del file binario nella page cache e poi avviava una copia modificata in memoria, ottenendo una shell con diritti di root. Il file originale sul disco rimaneva inalterato, il che rende il problema particolarmente difficile da diagnosticare: le tracce dell'exploit possono scomparire dopo la pulizia della page cache o il riavvio.<\/p>\n

Fragnesia \u00e8 emersa meno di una settimana dopo Dirty Frag. In V12 si sottolinea che si tratta di un errore distinto nella stessa superficie d'attacco \u2014 ESP\/XFRM \u2014 e non di un rinominamento di una vulnerabilit\u00e0 gi\u00e0 corretta. Phoronix nota anche che al momento della pubblicazione era disponibile un proof-of-concept e la correzione consisteva in una piccola patch a net\/core\/skbuff.c, che non era ancora stata immediatamente inclusa nei rami principali del kernel.<\/p>\n

<\/p>\n

Canonical ha assegnato CVE-2026-46300<\/a> alta priorit\u00e0 per Ubuntu, indicando come motivo \u00abescalation di privilegio locale banale\u00bb. Nella pagina di sicurezza di Ubuntu per i kernel interessati, al momento dell'aggiornamento del 13 maggio, lo stato era \u00abNeeds evaluation\u00bb, e nella nota \u00e8 specificato che il problema \u00e8 presente anche nel modulo ESP del kernel e pu\u00f2 temporaneamente essere mitigato nello stesso modo di Dirty Frag.<\/p>\n

<\/noindex><\/noindex> <\/p>\n

Debian Security Tracker<\/a> Al momento della verifica, sono stati contrassegnati come vulnerabili i kernel nelle versioni bullseye, bookworm, trixie, forky e sid; per il pacchetto linux in unstable non \u00e8 ancora stata indicata una versione correttiva.<\/p>\n

<\/noindex> <\/p>\n

La misura temporanea di protezione rimane la stessa di Dirty Frag: disattivare il caricamento dei moduli<\/a> esp4, esp6 e rxrpc, se non necessari al sistema. Questo potrebbe compromettere il funzionamento dei tunnel IPsec sui nodi che utilizzano kernel ESP, strongSwan, Libreswan o configurazioni simili, quindi su gateway VPN \u00e8 necessario applicare tale misura solo dopo aver valutato le conseguenze.<\/p>\n

<\/noindex> <\/p>\n

Esempio di attenuazione temporanea per gli amministratori:<\/p>\n

sudo sh -c \"printf 'install esp4 \/bin\/falseninstall esp6 \/bin\/falseninstall rxrpc \/bin\/falsen' > \/etc\/modprobe.d\/dirtyfrag.conf\" sudo rmmod esp4 esp6 rxrpc 2>\/dev\/null || true <\/p>\n

Se si sospetta che il sistema possa gi\u00e0 essere stato attaccato, la sola disattivazione dei moduli non \u00e8 sufficiente: poich\u00e9 la dimostrazione pubblica modifica il file eseguibile proprio nella cache delle pagine, si consiglia agli amministratori di svuotare la cache delle pagine o riavviare il sistema dopo aver applicato le misure di protezione. CloudLinux specifica che, dopo l'esecuzione, \/usr\/bin\/su potrebbe rimanere modificato in memoria fino a quando le pagine corrispondenti non vengono scaricate.<\/p>\n

Per rimuovere la regola temporanea dopo l'installazione del kernel corretto, \u00e8 possibile eliminare il file creato:<\/p>\n

sudo rm \/etc\/modprobe.d\/dirtyfrag.conf <\/p>\n

La raccomandazione principale rimane la stessa: installare il kernel corretto per la propria distribuzione e riavviare il sistema. Prima dell'aggiornamento, il rischio maggiore riguarda i server multiutente, i runner CI, l'hosting condiviso, le farm di build container e qualsiasi macchina in cui utenti non privilegiati o parzialmente fidati possano eseguire codice locale.<\/p>\n

Fonte: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u044f\u0434\u0440\u0435 Linux \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 Fragnesia \u0438 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 CVE-2026-46300. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0442\u043e\u043c\u0443 \u0436\u0435 \u043a\u043b\u0430\u0441\u0441\u0443 \u0430\u0442\u0430\u043a \u043d\u0430 page cache, \u0447\u0442\u043e \u0438 \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043e\u0431\u0441\u0443\u0436\u0434\u0430\u0432\u0448\u0438\u0435\u0441\u044f Copy Fail \u0438 Dirty Frag, \u043d\u043e \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0439 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0435\u0439 \u0441\u0442\u0430\u0440\u043e\u0439 \u043e\u0448\u0438\u0431\u043a\u0438: \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043e\u0431 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u0434\u0435\u0444\u0435\u043a\u0442\u0435 \u0432 \u043a\u043e\u0434\u0435 XFRM ESP-in-TCP. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c William Bowling […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-170863","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47In Linux \u00e8 stata scoperta una nuova vulnerabilit\u00e0 LPE, Fragnesia, che consente a un utente locale di ottenere i privilegi di root | ProHoster","description":"Nel kernel Linux \u00e8 stata rivelata un'altra vulnerabilit\u00e0 di elevazione dei privilegi locali, nota come Fragnesia e identificata con il CVE-2026-46300. Il problema appartiene alla stessa categoria di attacchi sulla cache della pagina, come le recenti Copy Fail e Dirty Frag, ma non \u00e8 una ripubblicazione di un vecchio errore: si parla di un difetto separato nel codice XFRM ESP-in-TCP. La vulnerabilit\u00e0 \u00e8 stata scoperta dal ricercatore William Bowling","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 Linux \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u043d\u043e\u0432\u0430\u044f LPE-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c Fragnesia, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c root | ProHoster","og:description":"\u0412 \u044f\u0434\u0440\u0435 Linux \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 Fragnesia \u0438 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 CVE-2026-46300. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0442\u043e\u043c\u0443 \u0436\u0435 \u043a\u043b\u0430\u0441\u0441\u0443 \u0430\u0442\u0430\u043a \u043d\u0430 page cache, \u0447\u0442\u043e \u0438 \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043e\u0431\u0441\u0443\u0436\u0434\u0430\u0432\u0448\u0438\u0435\u0441\u044f Copy Fail \u0438 Dirty Frag, \u043d\u043e \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0439 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0435\u0439 \u0441\u0442\u0430\u0440\u043e\u0439 \u043e\u0448\u0438\u0431\u043a\u0438: \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043e\u0431 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u0434\u0435\u0444\u0435\u043a\u0442\u0435 \u0432 \u043a\u043e\u0434\u0435 XFRM ESP-in-TCP. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c William Bowling","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-linux-raskryta-novaya-lpe-uyazvimost-fragnesia-pozvolyayushhaya-lokalnomu-polzovatelyu-poluchit-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-18T10:24:54+00:00","article:modified_time":"2026-05-18T10:24:54+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/170863","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=170863"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/170863\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=170863"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=170863"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=170863"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}