🔍 Dirty Frag — سكربت كشف CVE-2026-43284 / CVE-2026-43500

الخلاصة: هناك ثغرتان جديدتان في نواة لينكس. هذا السكربت يخبرك إذا كنت عرضة للخطر. قم بتحديث أنظمتك.

ما هذا؟

في 7 مايو 2026، تم الكشف علنًا عن فئة ثغرات تُسمى Dirty Frag من قِبل الباحث الأمني Hyunwoo Kim (@v4bel) — قبل الموعد المحدد، بعد أن أجبره كسر الحظر الإعلامي على النشر قبل جاهزية التصحيحات.

تسمح لأي مستخدم محلي غير مميز بالحصول على صلاحيات الجذر. بدون حالة سباق. بدون نافذة توقيت. موثوقة للغاية.

نظامان فرعيان متأثران:

لا تُعد أي من الثغرتين بمفردها موثوقة تمامًا — مسار ESP يتطلب القدرة على إنشاء مساحة أسماء مستخدمين (والتي يحجبها AppArmor في أوبونتو)، ومسار RxRPC يتطلب تحميل rxrpc.ko (وهو ما لا تفعله معظم التوزيعات افتراضيًا). معًا يغطيان نقاط الضعف لدى بعضهما البعض، مما يجعل سلسلة الاستغلال تعمل على كل التوزيعات الرئيسية تقريبًا.

يتوفر إثبات مفهوم عام. افترض أنه قيد الاستخدام النشط بالفعل.

ماذا يفعل هذا السكربت

يفحص نظامك بحثًا عن الظروف التي تجعل الاستغلال ممكنًا، ويخبرك بالتحديد لماذا أنت معرض للخطر — وليس مجرد نعم أو لا.

لن يصلح أي شيء. لن يستغل أي شيء. فقط يخبرك بالحقيقة حول نظامك.

المتطلبات

• Python 3.6+
• لا تبعيات خارجية — المكتبة القياسية فقط
• لا يتطلب صلاحيات الجذر (عن قصد — نتحقق مما يمكن لمهاجم غير مميز رؤيته)

الاستخدام

python3 dirty_frag_detect.py

هذا كل شيء. مخرجات ملونة، أسباب محددة لكل نتيجة، وملخص معالجة في النهاية.

لقطة شاشة

[]

الإصلاح

الإصلاح الحقيقي هو تحديث النواة. تحقق من النشرات الأمنية لتوزيعتك:

أثناء الانتظار (أو إذا لم تكن التصحيحات متاحة بعد لتوزيعتك)، قم بحظر الوحدات المعرضة للخطر:

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
  > /etc/modprobe.d/dirtyfrag.conf; \
  rmmod esp4 esp6 rxrpc 2>/dev/null; \
  echo 3 > /proc/sys/vm/drop_caches"

⚠️ قبل أن تفعل ذلك:

• حظر esp4/esp6 سيكسر أنفاق IPsec (strongSwan، Libreswan، WireGuard غير متأثر). لا تطبق هذا على بوابات VPN.
• حظر rxrpc سيكسر عملاء نظام الملفات الموزع AFS. تقريبًا لا أحد يستخدم هذا — لكن تحقق أولاً.

مهم: إذا كان نظامك قد يكون مستهدفًا قبل تطبيق التخفيف، يمكن للاستغلال تعديل الملفات الثنائية في ذاكرة التخزين المؤقت للصفحات دون لمس القرص. أدوات فحص سلامة الملفات (Tripwire، AIDE) التي تتحقق من المجاميع الاختبارية على القرص لن ترى أي خطأ. إعادة التشغيل تمسح ذاكرة التخزين المؤقت للصفحات وتستعيد الحالة على القرص.

كيف يعمل (النسخة المختصرة)

تعيش كلتا الثغرتين في مسارات فك التشفير السريعة داخل النواة. عندما يحمل مخزن مؤقت للمقبس أجزاءً مقسمة إلى صفحات غير مملوكة بشكل خاص للنواة — على سبيل المثال، صفحات أنابيب مرفقة عبر splice() أو sendfile() — تقوم مسارات استقبال ESP وRxRPC بفك التشفير مباشرة فوق تلك الصفحات المدعومة خارجيًا بدلاً من النسخ أولاً.

يمكن للمهاجم توجيه صفحة من ذاكرة التخزين المؤقت لـ /usr/bin/su (أو أي ملف آخر قابل للقراءة) إلى أحد مسارات فك التشفير هذه، باستخدام مفتاحه الخاص بحيث يكون "الناتج المفكوك" أي بايتات يختارها. تكتب النواة تلك البايتات مباشرة في النسخة المخزنة في الذاكرة من su. الملف على القرص يبقى دون مساس. النواة لا تعلّم الصفحة أبدًا كمتسخة.

من تلك النقطة، كل عملية تنفذ su تشغّل نسخة المهاجم — حتى drop_caches أو إعادة التشغيل.

متغير ESP (cac2661c53f3) ومتغير RxRPC (2dc334f1a63a) يشتركان في نفس الهدف النهائي لكن لديهما متطلبات مسبقة مختلفة تلغي بعضها البعض، مما يجعل السلسلة موثوقة عبر جميع التكوينات الرئيسية.

للتفاصيل التقنية الكاملة، راجع V4bel/dirtyfrag.

الجدول الزمني للكشف

الفضل: Hyunwoo Kim (@v4bel) للبحث الأصلي والكشف وإثبات المفهوم.

إخلاء مسؤولية

للكشف فقط. وجّهه إلى الأنظمة التي لديك إذن بفحصها.