Uma nova vulnerabilidade de elevação de privilégios local foi descoberta no núcleo do Linux, chamada Fragnesia e identificada como CVE-2026-46300. O problema está associado ao mesmo tipo de ataques ao page cache, que foram recentemente discutidos como Copy Fail e Dirty Frag, mas não é uma republicação de um erro antigo: trata-se de um defeito separado no código XFRM ESP-in-TCP.
A vulnerabilidade foi descoberta pelo pesquisador William Bowling da equipe V12 Security. De acordo com a descrição publicada, Fragnesia permite que um usuário local não privilegiado modifique o conteúdo de arquivos que são acessíveis apenas para leitura, na memória do page cache, e assim execute código com privilégios de root. Ao contrário de muitos exploits LPE antigos, o ataque não requer uma corrida e é descrito pelos pesquisadores como determinístico.
Tecnicamente, o problema está relacionado ao fato de que, ao combinar buffers de rede, o núcleo pode ter perdido a indicação de que um fragmento de dados é "compartilhado" e está associado a uma página de memória externa, incluindo o page cache. No patch proposto, isso é descrito como um erro em skb_try_coalesce(): ao mover fragmentos paginados de um sk_buff para outro, a flag SKBFL_SHARED_FRAG não foi mantida. Como resultado, o código ESP posterior poderia erroneamente considerar o buffer seguro para modificação.
O efeito prático é que os dados, anteriormente colocados na fila TCP a partir de um arquivo, poderiam ser processados pelo núcleo como texto cifrado ESP após a mudança do socket para o modo espintcp. Ao decifrar AES-GCM, os bytes eram modificados diretamente na página do page cache associada ao arquivo. Isso não altera o arquivo no disco, mas modifica sua representação na memória até que a página seja desalocada do cache.
Na demonstração pública do ataque, o alvo utilizado foi o /usr/bin/su: o exploit modificou os primeiros bytes do arquivo binário no page cache e, em seguida, executou uma cópia alterada na memória, obtendo um shell com privilégios de root. O arquivo original no disco permaneceu inalterado, o que torna o problema especialmente difícil de diagnosticar: vestígios da exploração podem desaparecer após a limpeza do page cache ou uma reinicialização.
Fragnesia surgiu menos de uma semana após o Dirty Frag. No V12, é destacado que se trata de um erro separado na mesma superfície de ataque — ESP/XFRM — e não uma renomeação de uma vulnerabilidade já corrigida. A Phoronix também observa que, no momento da publicação, um proof-of-concept estava disponível, e a correção consistia em um pequeno patch em net/core/skbuff.c, que ainda não havia sido incorporado nas principais ramificações do kernel.
A Canonical atribuiu CVE-2026-46300 alta prioridade ao Ubuntu, indicando a razão como "escalonamento trivial de privilégios locais". Na página de Segurança do Ubuntu para os kernels afetados, no momento da atualização em 13 de maio, o status era "Necessita de avaliação", e na nota foi mencionado que o problema também está no módulo ESP do kernel e pode ser temporariamente mitigado da mesma forma que o Dirty Frag.
O Debian Security Tracker no momento da verificação identificou como vulneráveis os kernels nas ramificações bullseye, bookworm, trixie, forky e sid; para o pacote linux no unstable, a versão corrigida ainda não foi especificada.
A medida temporária de proteção continua a mesma que para o Dirty Frag: desativar o carregamento de módulos esp4, esp6 e rxrpc, se não forem necessários para o sistema. Isso pode interromper o funcionamento de túneis IPsec em nós onde são utilizadas configurações de kernel ESP, strongSwan, Libreswan ou semelhantes, portanto em gateways VPN essa medida deve ser aplicada apenas após uma avaliação das consequências.
Exemplo de mitigação temporária para administradores:
sudo sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf" sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true
Se houver suspeita de que o sistema já possa ter sido atacado, apenas bloquear os módulos não é suficiente: como a demonstração pública modifica o executável exatamente no cache da página, os administradores recomendam limpar o cache de páginas ou reiniciar o sistema após aplicar as medidas de proteção. A CloudLinux afirma diretamente que, após a exploração, /usr/bin/su pode permanecer alterado na memória até que as páginas correspondentes sejam substituídas.
Para remover a regra temporária após instalar o kernel corrigido, pode-se excluir o arquivo criado:
sudo rm /etc/modprobe.d/dirtyfrag.conf
A principal recomendação continua a ser padrão: instalar o kernel corrigido do seu distribuidor e reiniciar o sistema. Até a atualização, o maior risco é para servidores multiusuários, CI runners, hospedagem compartilhada, fazendas de builds em contêineres e qualquer máquina onde usuários não privilegiados ou parcialmente confiáveis possam executar código local.
Fonte: linux.org.ru
