🔴 Fragnesia — CVE-2026-46300

Privilegieneskalation im Linux-Kernel · CVSS 7.8 · Veröffentlicht am 14. Mai 2026

Reines Sensibilisierungs-Repository. Dieses Repository enthält keinen Exploit-Code. Ziel ist es, Systemadministratoren, Ingenieure und Sicherheitsteams über die Art der Schwachstelle und die verfügbaren Abhilfemaßnahmen zu informieren.

📋 Zusammenfassung

Feld	Wert
CVE	CVE-2026-46300
Name	Fragnesia
Schweregrad	Hoch (CVSS 7.8)
Typ	Lokale Privilegieneskalation (LPE)
Komponente	Linux Kernel – XFRM ESP-in-TCP-Subsystem
Entdecker	William Bowling (V12 Security / Zellic.io)
Offenlegung	14. Mai 2026
Upstream-Patch	13. Mai 2026 – `[PATCH net] net: skbuff: preserve shared-frag marker during coalescing`
Öffentlicher PoC	✅ Ja (am Tag der Offenlegung veröffentlicht)
Ausnutzung in freier Wildbahn	❌ Bisher keine beobachtet

🧬 Hintergrund und Abstammung

Fragnesia ist die dritte Schwachstelle einer Serie, die innerhalb von zwei Wochen im IPsec-Subsystem des Linux-Kernels entdeckt wurde:

Dirty Frag (CVE-2026-43284)  ──►  Copy Fail (CVE-2026-43500)  ──►  Fragnesia (CVE-2026-46300)
         Mai 2026                        Mai 2026                        14. Mai 2026

Ironischerweise aktivierte der Patch von Dirty Frag latent die Fragnesia-Lücke – die Behebung von CVE-2026-43284 führte einen Codepfad ein, der einen seit einem Commit aus dem Jahr 2013 vorhandenen Fehler exponierte.

„Fragnesia was accidentally activated by the patch fixing CVE-2026-43284."
– Hyunwoo Kim, Entdecker von Dirty Frag

🔬 Technische Analyse

Ursprung des Fehlers

Die Schwachstelle liegt in der Funktion skb_try_coalesce() des Socket-Buffer-Codes im Kernel. Beim Zusammenführen von Fragmenten zwischen Puffern wurde der Marker SKBFL_SHARED_FRAG nicht weitergereicht, sodass der Kernel die Spur verlor, dass ein Fragment an Seiten des Page Caches angebunden war (z. B. eine per splice() speichergemappte Datei).

Exploit-Kette

1. Der Angreifer öffnet einen TCP-Socket  
2. Er führt splice() auf Seiten einer schreibgeschützten Datei (z. B. /usr/bin/su) in die Receive Queue aus  
3. Der Socket wechselt in den espintcp-Modus (ULP)  
4. Der Kernel behandelt die Dateiseiten als verschlüsselten ESP-Text  
5. Die AES-GCM-Entschlüsselung direkt im Speicher schreibt kontrollierte Bytes in den Page Cache  
6. /usr/bin/su im Speicher wird korrumpiert → Root-Code-Ausführung beim nächsten Aufruf

Bemerkenswerte Merkmale

✅ Keine Race Condition – 100% deterministische Ausnutzung
✅ Keine Änderung der Festplatte – nur die Speicherkopie wird verändert (ein reboot stellt den ursprünglichen Zustand wieder her)
✅ Nutzt User Namespaces (standardmäßig aktiviert) zur Erlangung von CAP_NET_ADMIN ohne hohe Rechte
✅ Jede vom Angreifer lesbare Datei kann Ziel sein, nicht nur su
⚠️ Schwer zu erkennen für traditionelle, plattenbasierte Sicherheitstools

🎯 Betroffene Systeme

Alle Linux-Kernel, die vor dem 13. Mai 2026 veröffentlicht wurden und den Mechanismus SKBFL_SHARED_FRAG enthalten.

Zu den betroffenen Distributionen gehören unter anderem:

Distribution	Patch-Status
Ubuntu 22.04 / 24.04	✅ Gepatched
Debian 11 / 12	✅ Gepatched
AlmaLinux	✅ Gepatched (vor RHEL)
Red Hat / RHEL	✅ Advisory veröffentlicht
SUSE / openSUSE	✅ Advisory veröffentlicht
Amazon Linux	✅ Advisory veröffentlicht
Fedora	✅ Gepatched
Arch Linux	✅ Gepatched
CentOS / Rocky Linux	✅ Gepatched

Umgebungen mit hohem Risiko

🏢 Multi-User-Server und Jump Server
☸️ Kubernetes-Worker-Knoten
🏗️ CI/CD-Farmen und gemeinsam genutzte Build Runner
☁️ Cloud-SaaS-Plattformen mit Benutzercode-Ausführung
🐳 Containercluster (gemeinsamer Page Cache auf dem Host)

🛡️ Behebung

1. Patch – Dauerhafte Lösung

Aktualisieren Sie auf einen gepatchten Kernel:

# Debian / Ubuntu
sudo apt-get update && sudo apt-get dist-upgrade -y
sudo reboot
uname -r  # Überprüfen Sie die neue Kernel-Version

# RHEL / AlmaLinux / Rocky Linux
sudo dnf clean metadata && sudo dnf upgrade -y
sudo reboot

# Arch Linux
sudo pacman -Syu
sudo reboot

2. Temporäre Mitigation – Deaktivieren der verwundbaren Module

Falls eine sofortige Aktualisierung nicht möglich ist:

# Entladen der aktiven Module
sudo rmmod esp4 esp6 rxrpc 2>/dev/null; true

# Module dauerhaft blacklisten
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
  | sudo tee /etc/modprobe.d/fragnesia.conf

# Initramfs neu generieren (Debian/Ubuntu)
sudo update-initramfs -u

⚠️ Dieselbe Blacklist, die für Dirty Frag verwendet wurde, deckt auch Fragnesia ab.

3. Überprüfen der Systemexposition

# Prüfen, ob die verwundbaren Module geladen sind
lsmod | grep -E '^esp4|^esp6|^rxrpc'
# Wenn der Befehl eine Ausgabe liefert → das System ist exponiert

# Aktuelle Kernel-Version anzeigen
uname -r
cat /etc/os-release

4. Zusätzliche Maßnahmen (Container-/Cloud-Umgebungen)

Erstellen von AF_ALG-Sockets über Seccomp verbieten
Erstellen nicht-privilegierter User Namespaces blockieren
Anomale Zugriffe auf /etc/passwd, /etc/sudoers, /etc/shadow, /usr/bin/su überwachen
Systemaufrufe splice, add_key und unshare für unprivilegierte Benutzer einschränken

5. Post-Exploitation – Page Cache leeren

Falls vor dem Einspielen des Patches eine Ausnutzung vermutet wird:

sync; echo 3 | sudo tee /proc/sys/vm/drop_caches

⚠️ Dies leert nur die Speicherkopie. Falls ein Angreifer bereits Root-Rechte erlangt und eine Backdoor installiert hat, reicht dieser Befehl nicht – das System als vollständig kompromittiert behandeln.

🔍 Erkennung

Indikatoren für eine Kompromittierung (IoC)

Erkennungswerkzeuge sollten folgendes überwachen:

Anomale Speicherzugriffe oder -änderungen an /usr/bin/su, /usr/bin/sudo, /bin/bash
Ungewöhnliche Systemaufrufe: splice(), add_key(), unshare() durch unprivilegierte Benutzer
Erstellung von Netzwerk-User-Namespaces auf Systemen, wo dies nicht erwartet wird
espintcp-Netzwerkaktivität auf unprivilegierten Benutzersockets

🔎 Sicherheitstools, die ausschließlich auf Dateisystemanalyse basieren, können diese Ausnutzung nicht erkennen, da das Binärprogramm auf der Festplatte intakt bleibt.

Beliebteste

Fragnesia-CVE-2026-46300