Linux Kernel „Dirty Frag“ ранливост овозможува ескалација до root привилегии на главните дистрибуции

Појавија се детали за нова, сè уште непatch-ирана локална ескалација на привилегии (LPE) ранливост која влијае на Linux kernel.

Наречена „Dirty Frag“, таа е опишана како наследник на Copy Fail (CVE-2026-31431, CVSS 7.8), неодамна откриена LPE ранливост во Linux kernel која веќе се користи во реални напади. Ранливоста била пријавена до одржувачите на Linux kernel на 30 април 2026 година.

Истражувачот Hyunwoo Kim (@v4bel) објаснува дека „Dirty Frag“ е ранливост (класа на проблем) која овозможува добивање root привилегии на повеќето Linux дистрибуции преку поврзување на xfrm-ESP Page-Cache Write ранливоста и RxRPC Page-Cache Write ранливоста.

Според него, „Dirty Frag“ ја проширува класата на багови на која припаѓаат Dirty Pipe и Copy Fail. Бидејќи станува збор за детерминистичка логичка грешка која не зависи од timing race condition, не е потребен race condition, kernel-от не паѓа при неуспешен експлоит, а стапката на успех е многу висока.

Ранливоста засега нема CVE идентификатор, бидејќи евалуацискиот (embargo) период бил прекинат откако детални информации и експлоит за xfrm-ESP Page-Cache Write ранливоста биле јавно објавени од трета страна.

Успешна експлоатација може да му дозволи на локален, непривилегиран корисник да добие root пристап на повеќето Linux дистрибуции, вклучувајќи Ubuntu 24.04.4, RHEL 10.1, openSUSE Tumbleweed, CentOS Stream 10, AlmaLinux 10 и Fedora 44.

Според истражувачот, xfrm-ESP Page-Cache Write ранливоста потекнува од commit во јануари 2017, додека RxRPC Page-Cache Write ранливоста е додадена во јуни 2023. Интересно е што истиот commit од 17 јануари 2017 бил причина и за друг buffer overflow (CVE-2022-27666, CVSS 7.8) во Linux дистрибуции.

xfrm-ESP Page-Cache Write, поврзан со IPSec (xfrm) подсистемот, им дава на напаѓачите 4-byte write primitive сличен на Copy Fail и овозможува мали записи во kernel page cache.

Сепак, експлоатацијата бара создавање namespace од непривилегиран корисник, што е блокирано на Ubuntu преку AppArmor. Во такви случаи, xfrm експлоитот не може да се активира. Тука влегува вториот експлоит, RxRPC Page-Cache Write.

RxRPC Page-Cache Write не бара создавање namespace, но rxrpc.ko модулот не е вклучен во повеќето дистрибуции. На пример, RHEL 10.1 по default не го испорачува rxrpc.ko. Меѓутоа, на Ubuntu, rxrpc.ko модулот е вчитан по default.

Комбинирањето на двата експлоита ги покрива нивните „слепи точки“: во системи каде што се дозволени user namespaces, работи ESP експлоитот, додека на Ubuntu, каде што namespaces се ограничени но rxrpc е достапен, работи RxRPC експлоитот.

CloudLinx во своја анализа наведува дека проблемот се наоѓа во ESP-in-UDP MSG_SPLICE_PAGES no-COW fast path и е достапен преку XFRM user netlink интерфејс.

AlmaLinux објаснува дека багот постои во in-place decrypt fast paths на esp4, esp6 и rxrpc, каде што socket buffer-и со paged фрагменти што не се „privately owned“ од kernel-от се дешифрираат директно над надворешно поврзани страници, што може да открие или корумпира податоци.

Дополнителна сериозност дава објавата на работен proof-of-concept (PoC) кој овозможува добивање root со една команда. Додека не се објават patch-еви, се препорачува блокирање на esp4, esp6 и rxrpc модули за да не можат да се вчитуваат.

sudo sh -c “printf ‘install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n’ > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true” 

Вреди да се напомене дека Dirty Frag, иако има одредени сличности со Copy Fail, може да се експлоатира без разлика дали algif_aead модулот во Linux kernel е вклучен или не.

Истражувачот истакнува:

„Важно е да се напомене дека Dirty Frag може да се активира независно од тоа дали algif_aead модулот е достапен. Со други зборови, дури и на системи каде што е применета јавно познатата заштита за Copy Fail (блокирање на algif_aead), вашиот Linux систем сè уште останува ранлив на Dirty Frag.“

Ова значи дека мерките што се користеле како workaround за претходната ранливост не се доволни во овој случај, бидејќи експлоитот користи различен пат и механизам во kernel-от.

Извори:

• The Hacker News – Linux Kernel Dirty Frag LPE Exploit Enables Root Access Across Major Distributions The Hacker News