نظرة عامة

ملخص الثغرة

خطأ منطقي في أنظمة xfrm/ESP و RxRPC في نواة لينكس يسمح لمستخدم محلي غير مميز بإجراء كتابة عشوائية محكمة ومحددة في ذاكرة التخزين المؤقت للصفحات لأي ملف قابل للقراءة على النظام — بما في ذلك الملفات الثنائية setuid مثل /usr/bin/su.

السبب الجذري هو فك التشفير غير الآمن في المكان لشظايا مخزن المقبس المشترك (skb) التي تشير إلى صفحات ذاكرة التخزين المؤقت للصفحات، خاصة عند استخدام splice(2) أو sendfile(2). يوفر هذا بدائية قوية للكتابة العشوائية في ذاكرة التخزين المؤقت للصفحات، والتي يمكن استغلالها لاستبدال الملفات الحساسة في الذاكرة وتحقيق وصول كامل للجذر.

يتم ربط بدائيتين مختلفتين لتحقيق تغطية شاملة:

• CVE-2026-43284 — كتابة ذاكرة التخزين المؤقت للصفحات عبر xfrm-ESP: تشترك في نفس المصب مع Copy Fail ولكن يتم تشغيلها عبر وحدات esp4/esp6، بغض النظر عن توفر algif_aead. يتطلب امتيازات إنشاء مساحة الأسماء.
• CVE-2026-43500 — كتابة ذاكرة التخزين المؤقت للصفحات عبر RxRPC: لا يتطلب امتيازات مساحة الاسم، ولكن يجب أن تكون rxrpc.ko موجودة (يتم تحميلها افتراضيًا على أوبونتو). يغطي النقاط العمياء لـ CVE-2026-43284.

ربط المتغيرين يجعلهما يغطيان النقاط العمياء لبعضهما البعض، محققين وصولًا موثوقًا للجذر في كل توزيعة رئيسية.

لا سباق. لا إعادة محاولة. لا خطر تعطل. محدد عبر جميع التوزيعات المختبرة.

هام: حتى على الأنظمة التي تم فيها تطبيق التخفيف المعروف لـ Copy Fail (القائمة السوداء لـ algif_aead)، يظل Dirty Frag قابلاً للاستغلال عبر CVE-2026-43284.

مقارنة بالأعمال السابقة

التأثير

• مهاجم محلي غير مميز → شل الجذر
• يؤثر على جميع التوزيعات الرئيسية لينكس التي تشحن نواة منذ 2017 تقريبًا
• موثوق للغاية دون الحاجة لشروط سباق
• يتجاوز القائمة السوداء لـ algif_aead (حل Copy Fail) بالكامل
• النواة لا تتعطل عند محاولات الاستغلال الفاشلة

الإصدارات المتأثرة

CVE-2026-43284 (xfrm/ESP): نواة لينكس من الالتزام cac2661c53f3 (2017-01-17) حتى f4c50a4034e6 (2026-05-05).

CVE-2026-43500 (RxRPC): نواة لينكس من الالتزام 2dc334f1a63a (2023-06-08) حتى aa54b1d27fe0 (2026-05-10).

العمر الفعال لسلسلة الثغرات هو حوالي 9 سنوات.

جميع التوزيعات الرئيسية التي تشحن نواة في هذا النطاق متأثرة، بما في ذلك:

الاستغلال

البناء والتشغيل

gcc -O0 -Wall -o exp exp.c -lutil && ./exp

لا تستخدم على أنظمة غير مصرح لك باختبارها.

التنظيف

⚠️ هام: بعد تشغيل هذا الاستغلال، تكون ذاكرة التخزين المؤقت للصفحات ملوثة. لمسح ذاكرة التخزين المؤقت الملوثة وضمان استقرار النظام، قم بتشغيل:

echo 3 > /proc/sys/vm/drop_caches

أو أعد تشغيل النظام.

التخفيف

الخيار 1 — التصحيح (موصى به)

قم بتحديث النواة إلى إصدار يحتوي على إصلاحات الخط الرئيسي وأعد التشغيل.

تم الإصلاح في الخط الرئيسي عبر:

• CVE-2026-43284: الالتزام f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
• CVE-2026-43500: الالتزام aa54b1d27fe0c2b78e664a34fd0fdf7cd1960d71

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / CentOS Stream
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE / openSUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

# Fedora
sudo dnf upgrade --refresh && sudo reboot

الخيار 2 — القائمة السوداء للوحدات القابلة للاستغلال (مؤقت)

إذا لم يكن من الممكن التصحيح فورًا، قم بتعطيل الوحدات القابلة للاستغلال ومسح ذاكرة التخزين المؤقت للصفحات.

# القائمة السوداء للوحدات القابلة للاستغلال
sudo sh -c 'printf "install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n" > /etc/modprobe.d/dirtyfrag.conf'

# إلغاء تحميل الوحدات فورًا
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

# مسح ذاكرة التخزين المؤقت للصفحات
echo 3 | sudo tee /proc/sys/vm/drop_caches >/dev/null

ما يؤثر عليه هذا الحل المؤقت

الخيار 3 — seccomp / AppArmor (الدفاع في العمق)

لأحمال العمل غير الموثوقة — الحاويات، مشغلات CI، البيئات المعزولة — قم بتقييد إنشاء مآخذ AF_ALG و splice() عبر سياسة seccomp أو AppArmor بغض النظر عن حالة التصحيح. هذا يحد من سطح الهجوم حتى على النواة القابلة للاستغلال ولكنه ليس إصلاحًا كاملاً.

الكشف

تحقق مما إذا كانت الوحدات القابلة للاستغلال محملة حاليًا أو قيد الاستخدام:

# تحقق إذا كانت الوحدات محملة
lsmod | grep -E 'esp4|esp6|rxrpc'

# تحقق إذا كان أي عملية لديها مقبس AF_ALG مفتوح
lsof | grep AF_ALG
ss -xa | grep alg

# تأكيد أن الحل المؤقت نشط بعد إعادة التشغيل
cat /etc/modprobe.d/dirtyfrag.conf

المراجع

الجدول الزمني للإفصاح

الأسئلة الشائعة

لماذا ربط ثغرتين؟

كتابة ذاكرة التخزين المؤقت للصفحات عبر xfrm-ESP توفر بدائية قوية لتخزين 4 بايتات عشوائية وهي موجودة في معظم التوزيعات، ولكنها تتطلب امتيازات إنشاء مساحة الأسماء — التي تمنعها أوبونتو أحيانًا عبر AppArmor. كتابة ذاكرة التخزين المؤقت للصفحات عبر RxRPC لا تتطلب امتيازات مساحة الاسم، ولكن rxrpc.ko ليست مضمنة في معظم التوزيعات — باستثناء أوبونتو، حيث يتم تحميلها افتراضيًا. ربط الاثنين يجعل النقاط العمياء لكل منهما تغطي الأخرى، محققة وصولًا موثوقًا للجذر في كل توزيعة رئيسية.

ما العلاقة مع Copy Fail (CVE-2026-31431)؟

بدائية xfrm-ESP تشترك في نفس مصب كتابة ذاكرة التخزين المؤقت للصفحات مثل CVE-2026-31431، ولكن يتم تشغيلها عبر الوحدتين esp4/esp6 بشكل مستقل عن algif_aead. تطبيق تخفيف CVE-2026-31431 (القائمة السوداء لـ algif_aead) لا يحمي من Dirty Frag.

لماذا اسم "Dirty Frag"؟

الثغرة تلوث عضو frag في struct sk_buff، مما يضعها في نفس فئة الأخطاء مثل Dirty Pipe — أخطاء منطقية تسمح بالكتابة غير المميزة في ذاكرة التخزين المؤقت للصفحات.

إخلاء المسؤولية

هذا المستودع مخصص لأغراض أمنية تعليمية ودفاعية فقط. لا تستخدم أي معلومات أو كود من هذا المستودع على أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها.