CVE-2026-46300-Fragnesia---TryHackMe-Lab-Projekt

Das Projekt dokumentiert die Fertigstellung und Analyse des Fragnesia (CVE-2026-46300) TryHackME-Labors, das eine Schwachstelle im Linux-Kernel-Page-Cache demonstriert, die eine lokale Privilegienausweitung durch Modifikation von zwischengespeicherten Dateiseiten ohne Änderung der Dateien auf der Festplatte ermöglicht.

Laborziele

. Verstehen der Fragnesia-Schwachstellenkette. . Analyse von Linux-Page-Cache-Korruptionstechniken. . Beobachten der Privilegienausweitung von einem unprivilegierten Benutzer zum Host-Root. . Verstehen der Rolle von:

• skb_try_coalesce()
• SKBFL_SHARED_FRAG
• ESP-in-TCP-Empfangsverarbeitung
• AES-GCM-Entschlüsselung an Ort und Stelle . Validierung von Minderungs- und Bereinigungsverfahren.

Umgebung

Zusammenfassung der Schwachstelle

Fragnesia ist eine Schwachstelle im Linux-Kernel, die deterministische Modifikation von Page-Cache-gestützten Dateiseiten über den ESP-in-TCP-Empfangspfad ermöglicht.

Die Schwachstelle entsteht durch falsche Handhabung von gemeinsam genutzten Socket-Buffer-Fragmenten während des Packet-Coalescing, was kontrollierte Byte-Modifikationen an zwischengespeicherten Dateiinhalten ermöglicht.

Hauptmerkmale

Ausbeutungsablauf

Stufe 1 - Page-Cache-Korruption

Der Exploit wurde von einem unprivilegierten Benutzerkonto kompiliert und ausgeführt.

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

Der Exploit modifizierte die zwischengespeicherte Kopie von:

/usr/bin/su

Ohne die auf der Festplatte gespeicherte Datei zu ändern.

Stufe 2 - Namespace-Root

Der Exploit erstellte einen Benutzer-Namespace und erlangte UID 0 innerhalb dieses Namespace.

Überprüfung:

whoami
root

Allerdings schlugen Versuche, auf geschützte Ressourcen zuzugreifen, fehl:

 cat /root/flag.txt
 permision denied

Dies zeigte, dass Namespace-Root nicht gleich Host-Root ist.

Stufe 3 - Host-Root-Eskalation

Nach Verlassen der Namespace-Shell:

exit
/usr/bin/su

Die korrumpierte Page-Cache-Kopie von /usr/bin/su führte vom Angreifer kontrollierten Code aus.

Überprüfung:

whoami
root

id
uid=0(root) gid=0(root)

Der Prozess besaß nun echte Root-Rechte auf Host-Ebene.

Flag

THM{fragnesia_skb_coalesce_amnesia}

Überprüfung

Um zu überprüfen, dass der Exploit nur den Speicher beeinflusste:

sha256sum /usr/bin/su

Der Hash stimmte mit dem ursprünglichen Binary überein, was bestätigt, dass: . Die Festplattendatei blieb unverändert. . Nur die Page-Cache-Kopie wurde modifiziert.

Bereinigung

Die korrumpierten Page-Cache-Einträge wurden entfernt mit:

sudo sh -c 'echo 3 > /proc/sys/vm/ drop_caches'

Nach der Cache-Verräumung kehrte /usr/bin/su zum normalen Verhalten zurück und erforderte Authentifizierung.

Sicherheitslektionen

• Kernel-Patches können neue Schwachstellen innerhalb desselben Subsystems einführen.
• Page-Cache-Korruption bleibt eine mächtige Technik zur Privilegienausweitung.
• Namespace-Root und Host-Root sind grundlegend unterschiedliche Sicherheitskontexte.
• Integritätsüberwachung, die ausschließlich auf Festplatten-Hashes basiert, kann Page-Cache-Angriffe möglicherweise nicht erkennen.
• Speicherresidente Modifikationen können traditionelle Dateiintegritätskontrollen umgehen.

Demonstrierte Fähigkeiten

• Linux-Privilegienausweitung
• Kernel-Schwachstellenanalyse
• Page-Cache-Interna
• Benutzer-Namespaces
• Linux-Prozesssicherheit
• Exploit-Validierung
• Sicherheitsminderungsüberprüfung
• Vorfallanalyse

Referenzen

TryHackMe – Fragnesia (CVE-2026-46300) Linux-Kernel-Dokumentation CVE-2026-46300-Forschungsmaterialien

author

Ejepu Benedict Amaechi Projekt abgeschlossen und dokumentiert als Teil von praktischem Cybersicherheitstraining auf TryHackMe.