fragnesia-scanner

Lokale Triage für Fragnesia, die Linux-Kernel-Privilegieneskalation CVE-2026-46300. Gib ihm eine Kernel-Version, die dir gehört, und es sagt dir, ob dieser Build noch angreifbar ist, und es erkennt die Fallstricke, die eine Versionsprüfung täuschen lassen. Es greift nie auf das Netzwerk zu, lädt nie einen Exploit, löst nie den Fehler aus.

Die Schwachstelle

Detail	Wert
CVE	CVE-2026-46300, Spitzname Fragnesia, eine Dirty Frag-Variante
Fehler	skb_try_coalesce() verwirft die Markierung für gemeinsam genutzte Fragmente, sodass ESP-in-TCP-Eingaben direkt über Page-Cache-Seiten entschlüsselt werden (CWE-456)
Auswirkung	Ein lokaler Benutzer überschreibt den zwischengespeicherten Inhalt von Dateien, die er nur lesen darf. Der öffentliche Proof of Concept zielt auf die zwischengespeicherte Kopie von /usr/bin/su, sodass der nächste Aufruf dieses Programms Angreifercode als root ausführt
Schweregrad	7.8 hoch, bewertet vom Kernel-CNA und NVD (AV:L/AC:L/PR:L/UI:N)
Ausnutzung	Am 2026-10-28 zu CISA KEV hinzugefügt, behördliche Frist 2026-10-31, für forensische Triage gekennzeichnet. Der Eintrag von CISA besagt, dass sie mit den PHP2Shell-Schwachstellen verkettet werden kann, um PHP-Webshells einzuschleusen und Befehle als root auszuführen
Die Kette	Dream Security meldete die Kette, die 25 Firewall-Appliances kompromittierte, darunter Systeme in einem mit der US-Regierung verbundenen Netzwerk: PHP2Shell bringt Code als Web-Benutzer zur Ausführung, Fragnesia macht daraus root, selbst unter SELinux-Einschränkung, weil es das Dateisystem nie um Schreibzugriff bittet

Fragnesia ist kein Angriff aus der Ferne. Niemand nutzt es allein aus dem Netzwerk gegen einen Server. Es benötigt bereits auf der Maschine laufenden Code, und genau das liefert eine Webshell, ein gestohlener SSH-Login oder ein kompromittierter CI-Job. Deshalb passt es zu foxcornlab/php2shell-scanner: Bewerte die PHP-Seite dort, bewerte die Kernel-Seite hier.

Behobene Versionen

Upstream-Stable (Fix-Commit f84eca581739)

Linie	Behoben in
7.0	7.0.10
6.18	6.18.33
6.12	6.12.91
6.6	6.6.141
6.1	6.1.174
5.15	5.15.208
5.10	5.10.257
7.1 und später	Nicht betroffen
Älter als 3.9	Nicht betroffen, laut dem CVE-Eintrag
Jede andere Linie (z. B. 6.17, 6.5)	Keine behobene Upstream-Version aufgeführt, wechsle zu einer behobenen Linie

Ubuntu (exakte behobene Builds)

Release	Behobener Build
26.04	7.0.0-22.22
25.10	6.17.0-35.35
24.04	6.8.0-124.124
22.04	5.15.0-181.191
20.04 Standard-5.4-Kernel	Von Ubuntu als nicht betroffen aufgeführt
20.04 5.15 HWE-Kernel	Nur Ubuntu Pro, prüfe deine Pro-Sicherheitshinweise

Debian (exakte behobene Builds)

Release	Behobener Build
13 trixie	6.12.90-1 (DSA-6295-1)
12 bookworm	6.1.174-1 (DSA-6306-1)
11 bullseye	5.10.257-1 (DLA-4606-1)

RHEL und Derivate

Pro Stream siehe RHSA-2026:19521 und später. Dieses Tool bewertet RHEL-Hosts anhand des Upstream-Fixes und nennt den Sicherheitshinweis, da Red Hat keine einzelne Versionsnummer veröffentlicht, gegen die dieses Tool bewerten könnte.

Wo Quellen voneinander abweichen

Zwei Abweichungen, beide bewusst befolgt. Eine sekundäre Abhandlung über das KEV-Update vom 28. Oktober gibt 2.7 für dieses CVE an; das ist die VMware ESX-Bewertung aus demselben Update, die auf den Kernel-Eintrag übertragen wurde. NVD, der Kernel-CNA und Red Hat sagen alle 7.8, daher folgt dieses Tool 7.8. Zweitens: Der Bereich von NVD für die 5.10-Linie reicht bis 5.10.257, während der Upstream-Eintrag und Debian beide 5.10.257-1 als behobenen Build aufführen. Dieses Tool folgt Upstream und Debian und bewertet 5.10.257 als behoben.

Fallstrick 1: uname verbirgt die Upload-Nummer

Der feste Build von Ubuntu für 24.04 ist 6.8.0-124.124. uname -r gibt 6.8.0-124-generic aus. Die Upload-Nummer nach dem zweiten Punkt erscheint nie in der Ausgabe von uname, daher kann ein laufender Kernel, dessen ABI mit dem festen ABI übereinstimmt, nicht allein anhand von uname als bereinigt eingestuft werden. Dieses Tool bewertet diesen Fall als UNKNOWN, nicht als sauber, und weist Sie darauf hin, die installierte Version des linux-image-Pakets zu prüfen. Ein ABI unterhalb des festen ABI ist definitiv VULNERABLE; ein ABI oberhalb davon ist FIXED. Übergeben Sie --package-version mit der dpkg-Version für eine definitive Bewertung.

Falle 2: installiert ist nicht gestartet

Ein festes Kernel-Paket, das installiert, aber nicht ausgeführt wird, bewirkt nichts. --local vergleicht den laufenden Kernel mit dem neuesten installierten Kernel-Paket und sagt es klar, wenn sie sich unterscheiden, und es markiert /var/run/reboot-required, wenn ein Kernel-Update bereitsteht.

Falle 3: die Beweise liegen im Speicher, nicht auf der Festplatte

Fragnesia schreibt in den Page-Cache des Kernels und berührt nie die Festplatte. Ein Neustart löscht die Backdoor und die Beweise gemeinsam. Wenn Sie vermuten, dass ein Host kompromittiert wurde, schauen Sie nach, bevor Sie irgendetwas neu starten: Vergleichen Sie ein normales Lesen einer Datei mit einem direkten Lesen, das den Cache umgeht, und sammeln Sie zuerst, was Sie benötigen. Dateiintegritäts-Tools, die gespeicherte Dateien erst nach einem Neustart hashen, werden es verpassen.

Was es prüft

• Eine von Ihnen angegebene Kernel-Version (--kernel), bewertet anhand der Upstream-Fix-Tabelle
• Ein Ubuntu-Release (--ubuntu 24.04) mit der oben genannten ABI-Falle, oder --package-version für eine definitive Bewertung
• Ein Debian-Release (--debian bookworm) anhand der installierten Paketversion (Debian uname-Strings enthalten nur eine ABI-Nummer, daher werden sie für sich genommen als UNKNOWN bewertet)
• Dieser Host (--local): laufender Kernel, os-release, neuestes installiertes Kernel-Paket, geladene ESP-Module (esp4, esp6, rxrpc), Reboot-Required-Flag und ob PHP installiert ist (separat bewertet, siehe unten)
• ESP-Modul-Präsenz: ein verwundbarer Kernel mit geladenem esp4/esp6 hat den erreichbaren Pfad gerade jetzt aktiv

Verwendung

# grade one version
python3 fragnesia_scanner.py --kernel 6.6.140

# Ubuntu 24.04, uname only (ABI match -> UNKNOWN, upload hidden)
python3 fragnesia_scanner.py --ubuntu 24.04 --kernel 6.8.0-124-generic

# Ubuntu 24.04, definitive grade from the installed package
python3 fragnesia_scanner.py --ubuntu 24.04 --kernel 6.8.0-124-generic --package-version 6.8.0-124.124

# Debian bookworm from the installed package
python3 fragnesia_scanner.py --debian bookworm --package-version 6.1.174-1

# this host, everything at once
python3 fragnesia_scanner.py --local

# machine-readable output for fleets
python3 fragnesia_scanner.py --local --json

Exit-Codes: 0 = nichts Verwundbares gefunden, 2 = verwundbarer Befund, 1 = Scan-Fehler. UNKNOWN ändert den Exit-Code nicht, ist aber nicht sauber.

Die PHP-Hälfte der Kette

Wenn --local PHP auf dem Host findet, wird dies gemeldet und auf foxcornlab/php2shell-scanner für die PHP-Bewertung verwiesen. Dieses Tool bewertet PHP bewusst nicht selbst: Dieser Scanner besitzt bereits die Fix-Tabelle für PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12, und ein Tool, das eine Fix-Tabelle besitzt, ist besser als zwei Tools, die auseinanderdriften.

Gegenmaßnahme, wenn Sie heute nicht patchen können