GRO Frag: en ny LPE-sårbarhet i Linux nätverksstack möjliggör rootåtkomst

Ett exploit har blivit tillgängligt för GRO Frag — en lokal sårbarhet för höjning av privilegier i Linux-kärnan, relaterad till hantering av GRO och zero-copy skb i nätverksstacken. Det exakta datumet för den ursprungliga upptäckten anges inte i offentliga dokument. Av öppna källor kan man fastställa två datum: fixen diskuterades på netdev-listan den 20 maj 2026, där denna sårbarhet redan beskrevs som kapabel att skriva över page cache, och en offentlig PoC laddades upp på GitHub Gist 22 maj 2026..

Som en tillfällig åtgärd fram till installationen av den korrigerade kärnan kan attackvektorn begränsas via sysctl: kernel.io_uring_disabled=1. Detta läge förhindrar skapandet av nya instanser av io_uring av icke-privilegierade processer, om de inte ingår i den tillåtna gruppen io_uring_group; med värdet -1 har endast processer med CAP_SYS_ADMIN tillgång. Detta är en mitigering, inte en fullständig korrigering av sårbarheten.

Problemet finns i funktionen skb_gro_receive(): när paket slås samman av GRO kunde kärnan överföra fragment från zero-copy skb till en annan skb utan korrekt kontroll av tillståndet zero-copy och flaggan SKBFL_MANAGED_FRAG_REFS. Som ett resultat kunde minnessidor, som den ursprungliga skb inte höll separata referenser till, frigöras felaktigt, vilket ledde till use-after-free. I patchen anges tydligt att en sådan situation kan leda till UAF och att den funna varianten var kapabel att skriva över page cache.

Den publicerade PoC beskriver sårbarheten som LPE genom GRO managed-frag UAF med användning av io_uring SEND_ZC och den virtuella nätverksgränssnittet veth. I en kommentar i koden anges att de påverkade kärnorna är Linux 6.0+, exploatering är möjlig av en icke-privilegierad användare men kräver tillgång till io_uring; som fix anges commit 4db79a322db8 med ändringen "net: gro: don’t merge zcopy skbs."

När det gäller konsekvenserna hör GRO Frag till samma farliga klass av fel som Copy Fail och Dirty Frag: en angripare med lokal icke-privilegierad åtkomst kan åstadkomma ändringar av data i page cache, det vill säga i minnet, utan att nödvändigtvis modifiera filen på disken. Sådana fel är särskilt obehagliga eftersom de berör gränsen mellan "bara läsning" av en fil och det faktiska innehållet som kärnan och processerna ser vid efterföljande anrop. Elastic har tidigare beskrivit denna klass som en praktisk väg för att få root-åtkomst genom page-cache corruption.

Vid publiceringstillfället hade en särskild CVE-identifierare för GRO Frag, enligt tillgängliga rapporter, ännu inte tilldelats. Som tillfälliga åtgärder bör administratörer sikta på att uppdatera kärnan till en version med en patch, såväl som på allmänna riskminskningsåtgärder för liknande LPE: begränsning av icke-privilegierade användarnamn där det är möjligt, kontroll av användningen av io_uring och övervakning av misstänkta kedjor relaterade till lokal privilegierad eskalering. För besläktade Copy Fail/DirtyFrag-attacker rekommenderar Elastic också att kombinera patchning med detektering av lågnivåexploateringsprimtiv för sårbarheten.

Lågnivåexploateringsprimtiv är inte själva "färdiga hackningen", utan grundläggande tekniska metoder som byggs upp för att skapa en exploateringskod.

I samband med GRO Frag kan detta betyda att man inte detekterar den färdiga händelsen "användaren har blivit root", utan försöker upptäcka enskilda misstänkta åtgärder som utnyttjas av exploateringskoden på vägen mot privilegierad eskalering.

Källa: linux.org.ru