Dirty Frag / CVE-2026-43284 — Forschungsnotizen

Übersicht

Dieses Repository enthält ein bereinigtes technisches Diagramm und unterstützende Notizen zur Linux-Kernel-Sicherheitslücke, die allgemein als Dirty Frag bezeichnet und für den xfrm-ESP-Pfad als CVE-2026-43284 verfolgt wird.

Das Problem gehört zur breiteren Dirty Frag-Klasse, die von Hyunwoo Kim (@v4bel) entdeckt wurde. Eine verwandte RxRPC-Variante wird separat als CVE-2026-43500 verfolgt.

Der Zweck dieses Materials ist:

• das Bug-Mechanismus auf Systemebene zu erklären;
• die Beziehung zwischen XFRM ESP, UDP-Einkapselung, splice(), skb-Fragmenten, dateigestützten Seiten und Page-Cache-Korruption zu dokumentieren;
• ein veröffentlichungsfertiges Diagramm für Berichte, Fallstudien und defensive Briefings bereitzustellen.

Dieses Repository ist kein Exploitation-Leitfaden.

Praktisch gesehen erweitert und dokumentiert das Repository den ursprünglichen öffentlichen Dirty Frag ESP Proof-of-Concept in einer besser überprüfbaren Form. Die enthaltenen Materialien sind ausschließlich für 64-Bit-Linux-Systeme bestimmt.

Funktionsweise

Auf hoher Ebene ist das Problem mit fehlerhafter In-Place-Behandlung im xfrm ESP-Empfangspfad verbunden.

Die Kette sieht wie folgt aus:

1. ein lokaler, unprivilegierter Prozess tritt mit unshare(CLONE_NEWUSER | CLONE_NEWNET) in einen neuen Benutzer- und Netzwerk-Namensraum ein;
2. XFRM-Sicherheitsassoziationen werden über einen Netlink-Socket installiert;
3. jede Sicherheitsassoziation speichert 4 Bytes einer kleinen 192-Byte-ELF-Nutzlast im Extended-Sequence-Number-Zustand;
4. schreibgeschützte Seiten von /usr/bin/su werden über splice() und SPLICE_F_MOVE in einen UDP-Paketpfad verschoben;
5. das Paket trägt eine dateigestützte Seite als skb-Fragment;
6. der ESP-Empfangspfad führt eine In-Place-Replay-Window-Aktualisierung durch, bei der die Fragmentseite als beschreibbar behandelt wird;
7. 4-Byte-Schreibvorgänge landen in der Page-Cache-gestützten Seite;
8. die Datei auf der Festplatte bleibt unverändert, aber die zwischengespeicherte In-Memory-Darstellung wird beschädigt;
9. spätere Ausführung kann die modifizierte Variante anstelle der sauberen On-Disk-Inhalte verwenden.

Was dieses Repository enthält

• poc/dirtyfrag_sim.cpp — bereinigtes C++-Forschungsquell-Artefakt
• poc/dirtyfrag — kompilierte 64-Bit-Binärdatei
• docs/dirtyfrag-flow.png — generiertes Publikationsdiagramm

Binär-Build

Das Repository enthält auch ein kompiliertes C++-Binär-Artefakt, das aus der C++-Quelldatei erstellt wurde. Beispiel-Build-Befehl:

g++ -std=c++17 -o poc/dirtyfrag poc/dirtyfrag.cpp

Betroffene Versionen

Kernel von cac2661c53f3 (2017-01-17) bis f4c50a4034e6 (2026-05-05, Fix veröffentlicht).

Das effektive Expositionsfenster beträgt etwa 9 Jahre.

Haftungsausschluss

Dieses Repository wird ausschließlich für defensive Forschung, Dokumentation und Bildungsanalyse bereitgestellt.

Verwenden Sie es nicht, um reale Systeme anzugreifen, privilegierte ausführbare Dateien zu ändern oder unbefugten Zugriff zu erlangen.

Die Sicherheitslückenklasse wurde von Hyunwoo Kim (@v4bel) entdeckt. Dieses Repository ist ein unabhängiges, bereinigtes Forschungsartefakt, das für eine schnellere Analyse gedacht ist.

Referenzen

• Original Dirty Frag-Forschung und -Kette: V4bel/dirtyfrag
• Original-Beschreibung: Dirty Frag-Beschreibung
• Kernel-Fix für CVE-2026-43284: Commit f4c50a4034e6