In de Linux-kernel is een vierde kwetsbaarheid vastgesteld in de afgelopen twee weken (CVE-2026-46300), waarmee een niet-bevoorrechte gebruiker rootrechten kan verkrijgen door data in de paginacache te overschrijven. Deze kwetsbaarheid heeft de codenaam Fragnesia of Copy Fail 3.0 gekregen. De aard van de kwetsbaarheid is vergelijkbaar met eerder onthulde kwetsbaarheden zoals Copy Fail en Dirty Frag. Zoals bij Dirty Frag is de nieuwe kwetsbaarheid aanwezig in de xfrm-ESP-subsystemen, maar is deze veroorzaakt door een andere fout en vereist deze een aparte patch. Er is een werkende exploit beschikbaar. <\/p>\n
De kwetsbaarheid manifesteert zich in Linux-kernels die zijn uitgebracht na 5 mei, als gevolg van onbedoelde activatie door de patch voor de kwetsbaarheid Dirty Frag. Voor het verhelpen van de Fragnesia-kwetsbaarheid is een patch voor de Linux-kernel voorgesteld. Analyse van deze patch toonde aan dat deze niet voldoende was, waarna een tweede versie van de patch is ontwikkeld. <\/p>\n
De kwetsbaarheid is aanwezig in het xfrm-subsystem in de implementatie van het ESP (Encapsulating Security Payload) protocol mechanisme in TCP (ESP-in-TCP, RFC 8229), dat wordt gebruikt voor het tunnelend IPsec-verkeer boven TCP. Om overtollige buffering te vermijden, werden bewerkingen met behulp van het AES-GCM-algoritme ter plaatse uitgevoerd door een XOR-bewerking op de data in de paginacache toe te passen. Door een logische fout ontstonden er voorwaarden waardoor 1 byte in de paginacache kon worden overschreven op een gekozen offset. Door de bewerkingen te herhalen, kan de inhoud van elk bestand in de paginacache byte voor byte worden gewijzigd. <\/p>\n
Alle leesbewerkingen van bestanden geven in de eerste plaats de inhoud uit de pagina-cache. In het geval van gegevenswijzigingen in de pagina-cache, zullen leesbewerkingen vanuit het bestand niet de daadwerkelijk op de schijf opgeslagen informatie teruggeven, maar vervangende gegevens. Het exploiteren van de kwetsbaarheid houdt in dat de pagina-cache voor een uitvoerbaar bestand met de suid-root-vlag wordt gewijzigd, waarna deze wordt voorgelezen om in de pagina-cache terecht te komen. In de exploit die door de onderzoekers is voorgesteld, worden de eerste 192 bytes van het bestand \/usr\/bin\/su in de pagina-cache herschreven met code om \/usr\/bin\/sh uit te voeren. Een daaropvolgende uitvoering van de utility 'su' zal ervoor zorgen dat er niet het originele uitvoerbare bestand van de schijf wordt geladen, maar een gewijzigde kopie uit de pagina-cache. <\/p>\n
Voor het exploiteren van de Fragnesia-kwetsbaarheid moet het cre\u00ebren van gebruikersnamespace (user namespace) zijn toegestaan in het systeem. In Ubuntu is deze handeling standaard verboden, maar kan deze worden toegestaan via sysctl 'kernel.apparmor_restrict_unprivileged_userns=0' of AppArmor-profielen. In andere distributies hangt de beschikbaarheid van 'user namespace' voor niet-privilege gebruikers af van de instelling van sysctl 'kernel.unprivileged_userns_clone' (als 0, is deze verboden). <\/p>\n
Updates met patches voor de Linux-kernel en kernelpakketten in de distributies zijn nog niet gepubliceerd. De status van de kwetsbaarheden in de distributies kan worden beoordeeld op deze pagina's: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch, Fedora. Als tijdelijke beschermingsmaatregel kunnen de kernelmodules esp4 en esp6 worden geblokkeerd: <\/p>\n