🧨 Fragnesia — CVE-2026-46300

Linux Kernel LPE Audit & Exploit Toolkit · Page-Cache / XFRM ESP-in-TCP (espintcp) Regression

Interaktives Audit → Erkennung der LPE-Voraussetzungen → Automatische Exploit-Ausführung (nach Bestätigung)

⚠️ Ethische & rechtliche Warnung Dieses Tool ist ausschließlich für legitime und autorisierte Sicherheitstests bestimmt — vertraglich vereinbarte Pentests, Lab-/CTF-Umgebungen oder eigene Assets. Die Nutzung ohne Erlaubnis des Systeminhabers ist eine Straftat (UU ITE, Computer Fraud and Abuse Act, usw.). Der Benutzer trägt die volle Verantwortung.

📖 Schwachstellenübersicht

CVE-2026-46300 ist eine Local Privilege Escalation (LPE)-Schwachstelle im Linux-Kernel, verursacht durch eine Regression in skb_try_coalesce(), die zu Page-Cache-Korruption führt und über das Subsystem XFRM ESP-in-TCP (espintcp) ausgenutzt wird.

Dieses Repository enthält 2 Komponenten:

Datei	Funktion
`fragnesia.sh`	Audit-Scanner — prüft die 3 Voraussetzungen und bietet dann die Exploit-Ausführung an, wenn das Ziel verwundbar ist
`fragnesia.c`	LPE-Exploit — Exploit-Quellcode, der vom Skript kompiliert und ausgeführt wird

🏗 Arbeitsablauf

┌───────────────────────┐
│   fragnesia.sh        │
│   Audit 3 pemeriksaan │
└──────────┬────────────┘
           ▼
   CHECKS_TRIGGERED > 0 ?
   ┌──────┴───────┐
   │ Ya           │ Tidak → Selesai (target aman)
   ▼              │
   Cek fragnesia.c ada?
   ┌──────┴───────┐
   │ Ya           │ Tidak → instruksi, selesai
   ▼              │
   Konfirmasi user [y/N]
   ┌──────┴───────┐
   │ Ya           │ Tidak → batal, selesai
   ▼              │
   gcc -O2 -w fragnesia.c -o exp
   │
   ▼
   ./exp   ← eksekusi exploit

⚙️ Systemanforderungen

Betreiber (Host, auf dem das Skript ausgeführt wird):

Linux (bash) — getestet auf Kali / Ubuntu / Debian
gcc zum Kompilieren des Exploits
Shell-Zugriff (lokal/SSH) auf das Ziel

Ziel (damit es potenziell verwundbar ist):

Von CVE-2026-46300 betroffener Kernel (ohne skb_try_coalesce()-Patch)
CONFIG_XFRM_ESPINTCP / CONFIG_INET_ESPINTCP aktiv (=y/m)
Unprivileged User Namespace aktiviert (kernel.unprivileged_userns_clone=1)
Lokaler Zugriff als Nicht-Root-Benutzer (zur LPE-Validierung)

📥 Installation

# 1. Clone
git clone https://github.com/Kentox493/CVE-2026-46300_Fragnesia.git
cd CVE-2026-46300_Fragnesia

# 2. Pastikan script executable
chmod +x fragnesia.sh

# 3. (Opsional) Toolchain bila belum ada
sudo apt update && sudo apt install -y build-essential
# atau (RHEL/Fedora)
sudo dnf groupinstall "Development Tools"

🚀 Verwendung

./fragnesia.sh

fragnesia.c und fragnesia.sh müssen sich im selben Verzeichnis befinden, da das Skript den Exploit relativ dazu sucht.

Interaktiver Ablauf

Das Skript führt automatisch 3 Audit-Prüfungen durch.
Wenn ein Hinweis auf eine Verwundbarkeit vorliegt (CHECKS_TRIGGERED > 0), erscheint eine Eingabeaufforderung:
```
[?] Target terdeteksi vulnerable (2/3). Lanjut kompilasi & eksekusi exploit? [y/N]:
```
y eingeben → das Skript kompiliert und führt den Exploit automatisch aus.
Etwas anderes als y / Enter eingeben → die Ausführung wird abgebrochen, der Audit ist beendet.

Manueller Bypass (ohne Audit)

gcc -O2 -w fragnesia.c -o exp
./exp

🔍 Details der Audit-Prüfung

Schritt 1 — Host- & Kernel-Überprüfung

Hostname und aktiven Kernel verifizieren, dann das Kernel-Paket-Changelog der Distribution (apt-get changelog / rpm -q --changelog) auf das Vorhandensein des CVE-2026-46300-Patches prüfen.

Ergebnis	Bedeutung
`VULN`	Kein Patch im Changelog der Distribution
`SAFE`	CVE-2026-46300-Patch erkannt

Schritt 2 — Konfiguration der Kernel-Subsysteme (XFRM / ESP)

Das ESP-in-TCP-Flag in /boot/config-$(uname -r) oder /proc/config.gz prüfen. Fallback: Erkennung der XFRM-/IPsec-Module über /lib/modules/ oder lsmod.

Ergebnis	Bedeutung
`VULN`	`CONFIG_XFRM_ESPINTCP` / `CONFIG_INET_ESPINTCP` aktiv (`=y/m`)
`SAFE`	Subsystem deaktiviert / nicht gebaut

Schritt 3 — Voraussetzung: User-Namespace-Isolation

kernel.unprivileged_userns_clone prüfen (Fallback: /proc/sys/user/max_user_namespaces).

Ergebnis	Bedeutung
`VULN`	Userns aktiviert → nicht-privilegierter Benutzer kann `CAP_NET_ADMIN` erhalten
`SAFE`	Userns deaktiviert → Mitigation aktiv
`UNCERTAIN`	Nicht bestimmbar → manuelle Überprüfung erforderlich

Interpretation des Endergebnisses

Punktzahl	Bewertung
3/3 VULN	🟥 — vollständige Angriffskette erfüllt

💣 Exploit-Ausführungsphase

Diese Phase ist nur aktiv, wenn CHECKS_TRIGGERED > 0 ist. Was das Skript ausführt:

# 1. Verifikasi keberadaan fragnesia.c
# 2. Konfirmasi user (default: TIDAK / N)
# 3. Kompilasi exploit:
gcc -O2 -w fragnesia.c -o exp

# 4. Eksekusi:
./exp

Hinweise zu den Kompilierungsflags:

-O2 — Optimierungsstufe 2 (entscheidend für Race-/Timing-basierte Exploits, damit sie stabil laufen)
-w — unterdrückt Warnungen (der Exploit-Quellcode ist üblicherweise voller Warnungen wie int-conversion usw.)

Eingebaute Fehlerbehandlung des Skripts:

📸 Beispielausgabe

┌──────────────────────────────────────────────────────────────────┐
│  FRAGNESIA (CVE-2026-46300) - HOST VULNERABILITY AUDIT TOOL      │
│  Linux Kernel Page-Cache / XFRM espintcp Regression Inspector    │
└──────────────────────────────────────────────────────────────────┘

┌──[STEP 1] Host & Kernel Verification
│  [i] INFO        │ Hostname      : webserver-01
│  [i] INFO        │ Active Kernel : 6.8.0-45-generic
│  [!] VULNERABLE  │ Patch Changelog -> No security patch found for CVE-2026-46300
└──

┌──[STEP 2] Kernel Subsystems Configuration (XFRM / ESP)
│  [!] VULNERABLE  │ ESP-in-TCP Flag -> CONFIG_XFRM_ESPINTCP / CONFIG_INET_ESPINTCP active (=y/m)
└──

┌──[STEP 3] User Namespace Isolation Prerequisite
│  [!] VULNERABLE  │ User Namespaces -> Enabled (Allows unprivileged user to gain CAP_NET_ADMIN)
└──

┌──────────────────────────────────────────────────────────────────┐
│                       EXECUTIVE AUDIT SUMMARY                    │
└──────────────────────────────────────────────────────────────────┘
[!] AUDIT RESULT: CRITICAL - TARGET IS HIGHLY VULNERABLE
    Semua prasyarat rantai serangan (Kernel patch, ESP subsistem, dan Userns) terpenuhi.

┌──────────────────────────────────────────────────────────────────┐
│           OPSIONAL: EKSEKUSI EXPLOIT FRAGNESIA (LPE)             │
└──────────────────────────────────────────────────────────────────┘

[i] fragnesia.c ditemukan (18,432 bytes).

[?] Target terdeteksi vulnerable (3/3). Lanjut kompilasi & eksekusi exploit? [y/N]: y

┌──[STEP 4] Kompilasi & Eksekusi Exploit (fragnesia.c)
│  [i] INFO        : Toolchain: gcc (Ubuntu 13.2.0-23ubuntu4) 13.2.0
│  $ gcc -O2 -w fragnesia.c -o exp
│  [✓] Kompilasi berhasil -> ./exp
│  $ ./exp
│  [*] Fragnesia exploit running...
│  [*] Overwriting page cache...
│  [*] Got root! uid=0(root) gid=0(root)
└──

🛡 Gegenmaßnahmen (für Blue Team)

Kernel patchen — auf eine Version aktualisieren, die den skb_try_coalesce()-Fix des Distributionsanbieters enthält.
Unprivileged User Namespace deaktivieren (vorübergehend):
```
sudo sysctl -w kernel.unprivileged_userns_clone=0
```
Dauerhaft: in /etc/sysctl.conf eintragen.

ESP-Module auf die Blacklist setzen, falls der Server kein VPN/IPsec bereitstellt:

echo 'install esp4_offload /bin/true' | sudo tee /etc/modprobe.d/disable-esp.conf
sudo update-initramfs -u

Erkennung & Härtung:
- Auf verdächtige Binaries namens exp / verdächtige Prozesse in /tmp achten
- CAP_NET_ADMIN in Containern & User Namespaces einschränken
- LSM (AppArmor/SELinux) verwenden, um die Erstellung von Namespaces einzuschränken

📁 Repository-Struktur

CVE-2026-46300_Fragnesia/
├── fragnesia.sh     # Audit scanner + trigger eksekusi exploit (bash)
├── fragnesia.c      # Source exploit LPE (C)
└── README.md        # Dokumentasi ini

⚖️ Haftungsausschluss & Lizenz

Nur für legitime Verwendung. Dieses Tool ist gedacht für:

Professionelle Penetrationstests (schriftlicher Vertrag)
Sicherheitsforschung & Responsible Disclosure
Labor-/CTF-Umgebungen

Sie müssen eine schriftliche Genehmigung des Systeminhabers besitzen, bevor Sie dieses Tool auf einer beliebigen Infrastruktur ausführen.

Das Repository wird "as-is" ohne jegliche Gewährleistung bereitgestellt. Die Mitwirkenden übernehmen keine Verantwortung für Missbrauch.

Lizenz: MIT

📚 Referenzen

CVE-2026-46300 — NVD / MITRE
Kernel skb_try_coalesce() — Dokumentation des Networking-Stacks
CVE-2022-0185 — Referenz für ähnliche Page-Cache-LPE-Techniken

CVE	CVE-2026-46300
Typ	Local Privilege Escalation (LPE)
Komponente	Linux-Kernel — Page-Cache + XFRM ESP-in-TCP (`espintcp`)
Ursache	Regression in `skb_try_coalesce()` → Speicher-/Page-Cache-Korruption
Voraussetzungen	3 Bedingungen müssen erfüllt sein (siehe Audit-Prüftabelle)
Auswirkung	Nicht-privilegierter Benutzer → root

`fragnesia.c` fehlt	Anweisungsmeldung, kein Absturz
`gcc` nicht installiert	Meldung mit Installationsbefehl für die Toolchain
Kompilierung fehlgeschlagen	Exploit wird nicht ausgeführt, Compiler-Fehler werden angezeigt
Exit-Code von `./exp` ≠ 0	Wird als Fehlschlag gemeldet

CVE-2026-46300_Fragnesia

Beliebteste