fragnesia-go

SA واحدة. بايت واحد في كل مرة. بدون سباق.

مَنفذ Go من fragnesia (CVE-2026-46300). عضو في فئة الثغرات Dirty Frag - ثغرة منفصلة، نفس السطح، تصحيح خاص بها.

كيف يعمل (tl;dr)

توجد الثغرة في النظام الفرعي XFRM الخاص بـ ESP-in-TCP في لينكس. عندما يتم تثبيت TCP_ULP espintcp على مقبس بعد أن تم بالفعل نقل البيانات عبر splice() من ملف إلى قائمة انتظار استقبال TCP، يعامل النواة البيانات المُصطفة كسجل نص مشفر ESP ويفك تشفيرها في مكانها. مصدر تلك البيانات هو صفحة من ذاكرة التخزين المؤقت للصفحات. يقوم فك التشفير بإجراء XOR على تدفق مفاتيح AES-GCM مباشرة داخلها.

النتيجة هي كتابة مُتحكَّم بها لبايت واحد في ذاكرة التخزين المؤقت للصفحات لأي ملف قابل للقراءة.

جدول تدفق المفاتيح

كتلة العداد AES-GCM (RFC 4106) في الموضع 2 هي [salt(4) || IV(8) || 0x00000002]. تشفيرها تحت مفتاح الجلسة يعطي كتلة تدفق مفاتيح بطول 16 بايت. البايت 0 من تلك الكتلة هو ما يتم إجراء XOR عليه مع البايت الهدف. بتغيير البتات الـ 32 السفلية من nonce الخاص بـ IV، يمكن الوصول إلى جميع القيم الـ 256 الممكنة لبايت تدفق المفاتيح خلال أول 65536 nonce. يبني الاستغلال جدول البحث هذا مرة واحدة عند بدء التشغيل عبر AF_ALG AES-ECB.

حلقة قلب البايت

لكل بايت من الحمولة:

1. اقرأ القيمة الحالية من الملف (ذاكرة التخزين المؤقت للصفحات).
2. احسب needed_keystream = current XOR desired.
3. ابحث عن nonce لبايت تدفق المفاتيح هذا.
4. عيّن IV، وأطلق زوج مشغلات TCP (يَنقُل المرسل صفحة الملف إلى المقبس عبر splice()، ويؤخر المستقبل تثبيت TCP_ULP حتى تُصطف البيانات).
5. النتيجة: current XOR keystream = current XOR (current XOR desired) = desired.

SA واحدة. 192 مشغل كحد أقصى. حتمي.

الاستخدام

go build -o fragnesia-go .
./fragnesia-go

عند النجاح يفتح غلاف جذر عبر PTY جديدة. الملف الثنائي على القرص يبقى دون تغيير - فقط ذاكرة التخزين المؤقت للصفحات.

التنظيف

echo 1 | tee /proc/sys/vm/drop_caches

المتطلبات

• لينكس - نواة غير مُصححة (انظر أدناه)
• لا أدوات خارجية - Go خالص، ثنائي ثابت واحد
• وحدة النواة: esp6 (وضع النقل، IPv6 حلقة محلية)

النواة المتأثرة

جميع النوى قبل التصحيح: https://lists.openwall.net/netdev/2026/05/13/79

نفس النطاق مثل dirtyfrag.

التخفيف

نفس التخفيف الخاص بـ dirtyfrag:

rmmod esp4 esp6
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\n' \
  > /etc/modprobe.d/fragnesia.conf

مقارنة مع dirtyfrag-go

المراجع

• v12-security/pocs - fragnesia - PoC الأصلي بلغة C
• CVE-2026-46300 - Red Hat
• تصحيح النواة

الاعتمادات

• William Bowling / فريق V12 - اكتشاف الثغرة وPoC الأصلي