CVE-2026-46300-Fragnesia---مشروع مختبر TryHackMe

يوثق هذا المشروع إكمال وتحليل مختبر Fragnesia (CVE-2026-46300) على TryHackME، الذي يوضح ثغرة فساد ذاكرة التخزين المؤقت للصفحات (page cache) في نواة لينكس قادرة على تحقيق تصعيد الصلاحيات محلياً من خلال تعديل صفحات الملفات المخزنة مؤقتاً دون تغيير الملفات على القرص.

أهداف المختبر

. فهم سلسلة ثغرة Fragnesia. . تحليل تقنيات فساد ذاكرة التخزين المؤقت للصفحات في لينكس. . ملاحظة تصعيد الصلاحيات من مستخدم غير مميز إلى الجذر المضيف. . فهم دور:

• skb_try_coalesce()
• SKBFL_SHARED_FRAG
• معالجة استقبال ESP-in-TCP
• فك التشفير الموضعي لـ AES-GCM . التحقق من إجراءات التخفيف والتنظيف.

البيئة

ملخص الثغرة

Fragnesia هي ثغرة في نواة لينكس تُمكّن من تعديل حتمي لصفحات الملفات المدعومة بذاكرة التخزين المؤقت للصفحات عبر مسار استقبال ESP-in-TCP.

تنشأ الثغرة من معالجة غير صحيحة لشظايا مقبس المخزن المؤقت المشتركة أثناء دمج الحزم، مما يسمح بتعديلات مسيطر عليها بالبايت لمحتويات الملفات المخزنة مؤقتاً.

الخصائص الرئيسية

مسار الاستغلال

المرحلة 1 - فساد ذاكرة التخزين المؤقت للصفحات

تم تجميع وتنفيذ الاستغلال من حساب مستخدم غير مميز.

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

عدّل الاستغلال النسخة المخزنة مؤقتاً من:

/usr/bin/su

دون تغيير الملف المخزن على القرص

المرحلة 2 - جذر مساحة الاسم

أنشأ الاستغلال مساحة اسم مستخدم وحصل على UID 0 داخل تلك المساحة.

التحقق:

whoami
root

لكن محاولات الوصول إلى الموارد المحمية فشلت:

 cat /root/flag.txt
 permision denied

أظهر هذا أن جذر مساحة الاسم لا يعادل جذر المضيف.

المرحلة 3 - تصعيد إلى جذر المضيف

بعد الخروج من شل مساحة الاسم:

exit
/usr/bin/su

النسخة المخزنة مؤقتاً الفاسدة من /usr/bin/su نفذت كوداً يتحكم به المهاجم.

التحقق:

whoami
root

id
uid=0(root) gid=0(root)

الآن تمتلك العملية صلاحيات جذر مضيف حقيقية.

العلم

THM{fragnesia_skb_coalesce_amnesia}

التحقق

للتحقق من أن الاستغلال أثر فقط على الذاكرة:

sha256sum /usr/bin/su

تطابق التجزئة مع الملف الأصلي، مؤكداً أن: . ملف القرص بقي دون تغيير. . فقط نسخة ذاكرة التخزين المؤقت للصفحات تم تعديلها.

التنظيف

تمت إزالة إدخالات ذاكرة التخزين المؤقت للصفحات الفاسدة باستخدام:

sudo sh -c 'echo 3 > /proc/sys/vm/ drop_caches'

بعد طرد الذاكرة المخبأة، عاد /usr/bin/su إلى سلوكه الطبيعي وطلب المصادقة.

الدروس الأمنية المستفادة

• يمكن أن تُدخل تصحيحات النواة ثغرات جديدة داخل نفس النظام الفرعي.
• يبقى فساد ذاكرة التخزين المؤقت للصفحات تقنية قوية لتصعيد الصلاحيات.
• جذر مساحة الاسم وجذر المضيف سياقات أمنية مختلفة جوهرياً.
• قد تفشل مراقبة التكامل المعتمدة فقط على تجزئات القرص في كشف هجمات ذاكرة التخزين المؤقت للصفحات.
• يمكن للتعديلات المقيمة في الذاكرة تجاوز ضوابط تكامل الملفات التقليدية.

المهارات المثبتة

• تصعيد الصلاحيات في لينكس
• تحليل ثغرات النواة
• داخلية ذاكرة التخزين المؤقت للصفحات
• مساحات أسماء المستخدمين
• أمان عمليات لينكس
• التحقق من صحة الاستغلال
• التحقق من تخفيف الأمن
• تحليل الحوادث

المراجع

TryHackMe – Fragnesia (CVE-2026-46300) وثائق نواة لينكس مواد بحثية لـ CVE-2026-46300

المؤلف

Ejepu Benedict Amaechi تم إكمال المشروع وتوثيقه كجزء من تدريب عملي على الأمن السيبراني على TryHackMe.