🚨 CVE-2026-43503 — DirtyClone

Wenn Shared Memory nicht mehr sicher gemeinsam genutzt wird.

Eine lokale Privilegieneskalations-Schwachstelle, verursacht durch unsachgemäße Weitergabe des SKBFL_SHARED_FRAG Flags innerhalb des Linux-Netzwerk-Stacks.

📖 Übersicht

CVE-2026-43503, mit dem Spitznamen DirtyClone, ist eine lokale Privilegieneskalations-Schwachstelle (LPE) mit hohem Schweregrad, die das Netzwerk-Subsystem des Linux-Kernels betrifft.

Die Schwachstelle besteht, weil mehrere Socket-Buffer (SKB)-Fragment-Kopierroutinen das SKBFL_SHARED_FRAG-Flag beim Klonen oder Übertragen von Paketfragmenten nicht bewahren.

Infolgedessen kann Speicher, der durch Copy-on-Write (CoW)-Semantik geschützt bleiben sollte, unerwartet beschreibbar werden, sodass ein lokaler Angreifer unter bestimmten Bedingungen schreibgeschützte Page-Cache-Daten ändern kann.

⚡ Warum "DirtyClone"?

Der Name DirtyClone spiegelt zwei Hauptmerkmale wider:

• Dirty → Gemeinsamer Page-Cache-Speicher wird unerwartet beschreibbar.
• Clone → Ausgelöst beim Klonen oder Übertragen von SKB-Fragmenten.

Ähnlich wie bei früheren Linux-Speicherkorruptions-Schwachstellen liegt das Problem in der fehlerhaften Handhabung von Metadaten gemeinsamen Speichers und nicht in einem klassischen Pufferüberlauf.

🎯 Auswirkungen

Eine erfolgreiche Ausnutzung kann es einem Angreifer ermöglichen:

• 🔺 Privilegien zu root eskalieren
• 🛠 Schreibgeschützte Dateien im Besitz von root ändern
• 💾 Page-Cache-gestützten Speicher korrumpieren
• ⚠ Erwartete Copy-on-Write-Schutzmaßnahmen umgehen
• 🔥 Beliebigen Code mit erhöhten Privilegien ausführen (abhängig von der Exploit-Kette)

🧩 Grundursache

Mehrere Netzwerk-Hilfsfunktionen klonen oder verschieben Paketfragmente, ohne Folgendes zu kopieren:

SKBFL_SHARED_FRAG

Flag.

Folglich nimmt der Ziel-Socket-Buffer fälschlicherweise an, dass er Eigentümer des tatsächlich gemeinsam genutzten Speichers ist.

Dies verletzt die Annahmen des Kernels über Seiteneigentum und Schreibschutz.

🔬 Betroffene Funktionen

__pskb_copy_fclone()

skb_shift()

skb_gro_receive()

skb_gro_receive_list()

tcp_clone_payload()

skb_segment()

Jede dieser Routinen kann Fragmentreferenzen weitergeben, ohne den gemeinsamen Fragmentzustand zu bewahren.

💥 Angriffsablauf

Local User
     │
     ▼
Create crafted networking workload
     │
     ▼
SKB Fragment Cloning
     │
     ▼
SKBFL_SHARED_FRAG Lost
     │
     ▼
Shared Memory Appears Private
     │
     ▼
Write Into Read-Only Page Cache
     │
     ▼
Privilege Escalation

📸 Demo

📊 Schwachstellendetails

🖥 Betroffene Komponente

Linux Kernel

Subsystem:
net/skbuff

✅ Behobene Kernel-Versionen

🛡 Abhilfemaßnahmen

• Aktualisieren Sie auf einen gepatchten Linux-Kernel.
• Schränken Sie den lokalen Shell-Zugriff für nicht vertrauenswürdige Benutzer ein.
• Wenden Sie die neuesten Sicherheitsupdates des Herstellers an.
• Überwachen Sie Systeme auf Privilegieneskalationsversuche.
• Befolgen Sie das Prinzip der geringsten Privilegien.

🔍 Erkennung

Indikatoren können umfassen:

• Unerwartete Änderung von schreibgeschützten Dateien
• Abnormales Page-Cache-Verhalten
• Lokale Privilegieneskalationsversuche
• Kernel-Warnungen im Zusammenhang mit Netzwerk-Speicherverwaltung

📚 Technische Zusammenfassung

🧠 Wichtigste Erkenntnis

DirtyClone ist kein Netzwerk-Remote-Exploit – es ist eine lokale Privilegieneskalations-Schwachstelle, die durch fehlerhafte Handhabung gemeinsamer Socket-Buffer-Fragmente verursacht wird. Der Verlust des SKBFL_SHARED_FRAG-Flags ermöglicht Schreibvorgänge in Speicher, der geschützt bleiben sollte, untergräbt die Copy-on-Write-Garantien von Linux und ermöglicht unter den richtigen Bedingungen eine Privilegieneskalation.