V jedru Linux je bila razkrita nova ranljivost lokalnega povišanja privilegijev, imenovana Fragnesia in identifikator CVE-2026-46300. Težava spada v isto kategorijo napadov na page cache, kot sta nedavno razpravljana Copy Fail in Dirty Frag, vendar ni ponovna objava stare napake: gre za ločeno napako v kodi XFRM ESP-in-TCP.
Ranljivost je odkril raziskovalec William Bowling iz ekipe V12 Security. Po podatkih v objavljenem opisu, Fragnesia omogoča nepriviligiranemu lokalnemu uporabniku spreminjanje vsebine datotek, ki so na voljo le za branje, v spominu page cache in s tem izvajanje kode s pravicami root. V nasprotju s številnimi starejšimi LPE-izkoriščenji napad ne zahteva dirke in ga raziskovalci opisujejo kot determiniranega.
Tehnično je težava povezana s tem, da je med združevanjem omrežnih zbirk jedro lahko izgubilo znak, da je fragment podatkov 'skupni' in povezan z zunanjim spominom, vključno s page cache. V predlaganem popravku je to opisano kot napaka v skb_try_coalesce(): pri prenosu paged fragments iz enega sk_buff v drugega ni bil ohranjen znak SKBFL_SHARED_FRAG. Posledično je lahko kasnejša koda ESP napačno obravnavala zbirko kot varno za spremembo.
Praktični učinek je v tem, da so podatki, prej vstavljeni v TCP-vrsto iz datoteke, po preklopitvi v način espintcp lahko obravnavali kot ESP-šifrat. Pri dešifriranju AES-GCM so se biti neposredno spreminjali v strani page cache, povezani z datoteko. To ne spremeni datoteke na disku, vendar spremeni njeno predstavitev v spominu do izpodrinjenja strani iz predpomnilnika.
V objavljenem prikazu napada je bila kot tarča uporabljena /usr/bin/su: izkoriščenje je modificiralo prve bite binarne datoteke v page cache in nato zagnalo spremenjeno kopijo v spominu, pridobivajoč shell s pravicami root. Izvorna datoteka na disku je pri tem ostala nespremenjena, kar problem še posebej otežuje pri diagnostiki: sledovi izkoriščanja lahko izginejo po čiščenju page cache ali ponovnem zagonu.
Fragnesia se je pojavila manj kot teden dni po Dirty Frag. V V12 poudarjajo, da gre za ločeno napako na isti površini napada — ESP/XFRM, — in ne za preimenovanje že odpravljene ranljivosti. Phoronix tudi izpostavlja, da je bil ob objavi dostopen proof-of-concept, popravek pa je predstavljal manjši popravni paket za net/core/skbuff.c, ki še ni takoj prišel v glavne veje jedra.
Canonical je dodelil CVE-2026-46300 visoko prednost za Ubuntu, pri čemer je razlog navedel kot "trivial local privilege escalation". Na strani Ubuntu Security za prizadete jedra je ob posodobitvi 13. maja veljal status "Needs evaluation", dodatno pa je navedeno, da težava obstaja tudi v ESP-modulu jedra in jo je mogoče začasno omiliti na enak način kot Dirty Frag.
Debian Security Tracker je ob preverjanju označeval ranljiva jedra v vejah bullseye, bookworm, trixie, forky in sid; za paket linux v unstable pa še ni bila navedena popravljena različica.
Začasna zaščitna ukrepa ostaja enaka kot pri Dirty Frag: izklopite nalaganje modulov esp4, esp6 in rxrpc, če niso potrebni sistemu. To lahko moti delovanje IPsec tunelov na vozliščih, kjer se uporabljajo kernel ESP, strongSwan, Libreswan ali podobne konfiguracije, zato je takšno ukrepanje na VPN-gateways potrebno uporabiti le po oceni posledic.
Primer začasne omilitve za skrbnike:
sudo sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf" sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true
Če obstaja sum, da je bila sistem že napadena, enega izklopa modulov ni dovolj: ker javna demonstracija spremeni izvršljivi datoteko prav v page cache, skrbniki priporočajo čiščenje predpomnilnika strani ali reboot sistema po uvedbi zaščitnih ukrepov. CloudLinux neposredno navaja, da lahko po zlorabi /usr/bin/su ostane spremenjeno v pomnilniku, dokler se ne osvežijo ustrezne strani.
Za odstranitev začasnega pravila po namestitvi popravljenega jedra lahko odstranite ustvarjeno datoteko:
sudo rm /etc/modprobe.d/dirtyfrag.conf
Glavna priporočila ostajajo standardna: namestite popravljen jedro svojega distribucijskega sistema in ponovno zaženite sistem. Pred posodobitvijo nosijo največje tveganje večuporabniški strežniki, CI-runners, shared hosting, kontainerske build-farme in katerikoli računalniki, kjer lahko neprivilegirani ali delno zaupanja vredni uporabniki izvajajo lokalno kodo.
Izvor: linux.org.ru
