Dirty Frag — تصحيحات النواة

سلسلة تصحيحات لفئة الثغرة Dirty Frag التي اكتشفها Hyunwoo Kim (@v4bel).

تسمح Dirty Frag لمستخدم محلي غير مميز بالكتابة فوق بايتات عشوائية من ذاكرة التخزين المؤقت للصفحات (page cache) للملفات القابلة للقراءة فقط (مثل /usr/bin/su و /etc/passwd) مما يؤدي إلى تصعيد الامتيازات المحلية إلى صلاحيات الجذر (root) على جميع توزيعات لينكس الرئيسية.

⚠️ الإسناد

التصحيحات في هذا المستودع لم تُكتب بواسطة مُشرف هذا المستودع.

• CVE-2026-43284 (تصحيح ESP): من تأليف Hyunwoo Kim (@v4bel) و Kuan-Ting Chen. تم دمجه في النواة الرئيسية للينكس في الالتزام f4c50a4034e6.
• CVE-2026-43500 (تصحيح RxRPC): من تأليف Hyunwoo Kim (@v4bel). تم إرساله إلى القائمة البريدية netdev في afKV2zGR6rrelPC7@v4bel، بانتظار الدمج.

هذا المستودع هو نسخة منسقة من تلك التصحيحات، تم جمعها هنا للراحة بصيغة جاهزة لـ git am. كل الفضل يعود للمؤلفين الأصليين. البحث الأصلي وPoC: https://github.com/V4bel/dirtyfrag

التصحيحات

إصدارات النواة المتأثرة

• CVE-2026-43284 (ESP): النواة من 4.10 (الالتزام cac2661c53f3، 2017-01-17) حتى 6.x قبل f4c50a4034e6
• CVE-2026-43500 (RxRPC): النواة من 6.4 (الالتزام 2dc334f1a63a، 2023-06-08) حتى أحدث إصدار (لا يوجد تصحيح مدمج بعد)

طريقة التطبيق

التطبيق على شجرة مصدر النواة

git clone https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git
cd linux

# تطبيق التصحيح 1 (ESP — CVE-2026-43284)
git am 0001-net-xfrm-fix-page-cache-write-via-esp-splice-CVE-2026-43284.patch

# تطبيق التصحيح 2 (RxRPC — CVE-2026-43500)
git am 0002-net-rxrpc-fix-page-cache-write-via-rxkad-splice-CVE-2026-43500.patch

التطبيق باستخدام patch (إذا فشل git am بسبب انحراف السياق)

patch -p1 < 0001-net-xfrm-fix-page-cache-write-via-esp-splice-CVE-2026-43284.patch
patch -p1 < 0002-net-rxrpc-fix-page-cache-write-via-rxkad-splice-CVE-2026-43500.patch

تخفيف فوري (بدون الحاجة لإعادة ترجمة النواة)

إذا لم تتمكن من تطبيق التصحيح فورًا، قم بحظر الوحدات المعرضة للخطر:

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
    > /etc/modprobe.d/dirtyfrag.conf && \
    rmmod esp4 esp6 rxrpc 2>/dev/null; \
    echo 3 > /proc/sys/vm/drop_caches"

تحذير: إزالة esp4/esp6 تعطل IPsec ESP. قم بتقييم التأثير قبل التطبيق على أنظمة الإنتاج.

الملخص الفني

السبب الجذري

يشترك كلا النوعين في نفس السبب الجذري: مسار splice() بنسخ صفري في النواة يضع صفحة ذاكرة تخزين مؤقت للصفحات قابلة للقراءة فقط مباشرة في جزء skb دون دلالات النسخ عند الكتابة (copy-on-write). عمليات التشفير اللاحقة في المكان (in-place) تكتب بعد ذلك في تلك الصفحة، مما يعدّل محتوى الملف المخزن مؤقتًا بشكل دائم.

splice(file_fd → pipe → socket)
         │
         ▼
  skb->frags[0].page = &page_cache_page_P   <- لا يوجد CoW!
         │
         ▼
  [esp_input / rxkad_verify_packet_1]
  فك تشفير AEAD/fcrypt في المكان  src == dst == &P
         │
         ▼
  STORE إلى page_cache_page_P     <- كتابة عشوائية إلى ذاكرة تخزين ملف للقراءة فقط

استراتيجية الإصلاح

المراجع

• PoC الأصلي والشرح: https://github.com/V4bel/dirtyfrag
• CVE-2026-43284: https://www.cve.org/CVERecord?id=CVE-2026-43284
• CVE-2026-43500: https://www.cve.org/CVERecord?id=CVE-2026-43500
• الالتزام في النواة الرئيسية (إصلاح ESP): https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
• تصحيح RxRPC (القائمة البريدية netdev): https://lore.kernel.org/all/afKV2zGR6rrelPC7@v4bel/
• Copy Fail (ثغرة سابقة): https://copy.fail/
• Dirty Pipe (نفس فئة الثغرة): https://dirtypipe.cm4all.com/