En ny LPE-sårbarhet, Fragnesia, har upptäckts i Linux, vilket gör att en lokal användare kan få root.

En Linux-kärnan har en ny sårbarhet för lokal höjning av privilegier, som kallas Fragnesia och identifieringsnumret CVE-2026-46300. Problemet tillhör samma klass av attacker mot page cache som nyligen diskuterade Copy Fail och Dirty Frag, men är inte en upprepning av ett gammalt fel: det handlar om en separat defekt i koden XFRM ESP-in-TCP.

Sårbarheten upptäcktes av forskaren William Bowling från teamet V12 Security. Enligt den publicerade beskrivningen gör Fragnesia det möjligt för en icke-privilegierad lokal användare att ändra innehållet i filerna som endast är skrivskyddade i minnet av page cache och därigenom exekvera kod med root-behörigheter. Till skillnad från många gamla LPE-exploits kräver attacken inte någon race och beskrivs av forskarna som deterministisk.

Tekniskt relaterar problemet till att när nätverksbuffertar slås samman kunde kärnan förlora indikationer på att en databit var "delad" och kopplad till en extern minnessida, inklusive page cache. I den föreslagna patchen beskrivs detta som ett fel i skb_try_coalesce(): När paged fragments flyttades från en sk_buff till en annan, bevarades inte flaggan SKBFL_SHARED_FRAG. Som resultat av detta kunde senare kod i ESP felaktigt betrakta bufferten som säker för förändringar.

Den praktiska effekten är att data som tidigare placerats i TCP-kön från en fil, efter att ha växlat socketen till läget espintcp, kunde behandlas av kärnan som ESP-krypterad text. Vid dekryptering av AES-GCM ändrades bytes direkt i den memory page cache som var kopplad till filen. Detta ändrar inte filen på disken, men ändrar dess representation i minnet tills sidan körs ut från cachen.

I den publicerade demonstrationsattacken användes målfilen /usr/bin/su: exploiten modifierade de första byten av det binära filen i page cache och körde därefter den modifierade versionen i minnet, vilket resulterade i en shell med root-behörigheter. Den ursprungliga filen på disken förblev oförändrad, vilket gör problemet särskilt besvärligt för diagnos: spår av utnyttjande kan försvinna efter att page cache har rensats eller efter en omstart.

Fragnesia dök upp mindre än en vecka efter Dirty Frag. I V12 understryker man att det är en separat sårbarhet på samma attackyta — ESP/XFRM — och inte en ombenämning av en redan åtgärdad sårbarhet. Phoronix noterar också att en proof-of-concept var tillgänglig vid publicering, och att åtgärden bestod av en liten patch till net/core/skbuff.c, som ännu inte hade kommit in i de huvudsakliga grenar av kärnan.

Canonical har gett CVE-2026-46300 hög prioritet till Ubuntu, med motiveringen "trivial local privilege escalation". På Ubuntu Security-sidan för de berörda kärnen var statusen "Needs evaluation" vid uppdateringen 13 maj, och i anmärkningen nämns speciellt att problemet också finns i kärnans ESP-modul och kan tillfälligt mildras på samma sätt som Dirty Frag.

Debian Security Tracker markerade som sårbara kärnor i grenar som bullseye, bookworm, trixie, forky och sid vid kontrollen; för paketet linux i unstable har ingen fixad version angetts ännu.

Den temporära skyddsåtgärden förblir densamma som för Dirty Frag: stänga av modulinköp esp4, esp6 och rxrpc, om de inte behövs av systemet. Detta kan störa IPsec-tunnlar på noder där kernel ESP, strongSwan, Libreswan eller liknande konfigurationer används, så på VPN-gateways bör en sådan åtgärd endast tillämpas efter att konsekvenserna bedömts.

Ett exempel på tillfällig mildring för administratörer:

sudo sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf" sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

Om det finns misstankar om att systemet redan kan ha blivit attackerat, är det inte tillräckligt att bara blockera modulerna: eftersom den offentliga demonstrationen förändrar exekveringsfilen direkt i page cache, rekommenderar administratörer att rensa sidcache eller starta om systemet efter att ha vidtagit skyddsåtgärder. CloudLinux anger tydligt att efter exploatering kan /usr/bin/su förbli förändrat i minnet tills de relevanta sidorna har bytts ut.

För att ta bort den tillfälliga regeln efter installation av det åtgärdade kärnan kan den skapade filen tas bort:

sudo rm /etc/modprobe.d/dirtyfrag.conf

Den huvudsakliga rekommendationen förblir densamma: installera den åtgärdade kärnan från din distribution och starta om systemet. Fram till uppdatering är den största risken multi-användars servrar, CI-löpare, delad hosting, container-byggerier och alla maskiner där oprivilegierade eller delvis betrodda användare kan köra lokal kod.

Källa: linux.org.ru