CVE-2026-43284 (Dirty Frag) – Linux-Kernel-Schwachstellenforschung

Überblick

Dieses Repository dokumentiert ein vollständiges defensives Sicherheitsforschungsprojekt, das sich auf CVE-2026-43284 (Dirty Frag) konzentriert, eine Linux-Kernel-Schwachstelle, die das XFRM/IPsec-Netzwerk-Subsystem betrifft.

Das Ziel dieses Projekts ist es nicht, die Schwachstelle zu bewaffnen, sondern zu verstehen, wie sie funktioniert, sie sicher in einer kontrollierten Laborumgebung zu reproduzieren, den Linux-Kernel-Quellcode zu analysieren, den Sicherheitspatch zu untersuchen und praktische Erkennungs- und Incident-Response-Techniken zu entwickeln, die von Sicherheitsexperten genutzt werden können.

Das Projekt kombiniert Linux-Kernel-Forschung, Netzwerktechnik, SOC-Betrieb, Detection Engineering und Incident Response zu einem einzigen praktischen Portfolio.

Projektziele

Dieses Projekt wurde erstellt, um:

• Das Linux-Netzwerk-Subsystem zu verstehen.
• Linux-Kernel-Interna zu erlernen.
• Die Paketverarbeitung im Kernel zu untersuchen.
• Die Grundursache von Dirty Frag zu analysieren.
• Verwundbaren und gepatchten Quellcode zu vergleichen.
• Ein sicheres, reproduzierbares Forschungslabor aufzubauen.
• Erkennungsregeln mit auditd, Splunk und Wazuh zu entwickeln.
• Threat Hunting durchzuführen.
• Incident Response zu üben.
• Angreiferverhalten auf MITRE ATT&CK abzubilden.
• Dokumentation zu erstellen, die für VAPT, SOC, DFIR und Linux-Administratoren nützlich ist.

Über CVE-2026-43284

Dirty Frag ist eine Linux-Kernel-Schwachstelle, die sich im XFRM/IPsec-Netzwerk-Subsystem befindet.

Anstatt einfach einen Proof of Concept (PoC) zu reproduzieren, konzentriert sich dieses Repository darauf, Folgendes zu verstehen:

• Warum die Schwachstelle existiert.
• Welche Kernel-Komponenten beteiligt sind.
• Wie Pakete durch den Netzwerk-Stack wandern.
• Warum der Copy-on-Write-Schutz versagt hat.
• Wie die Linux-Entwickler das Problem behoben haben.
• Wie Verteidiger verdächtige Aktivitäten erkennen können.
• Wie Incident Responder betroffene Systeme untersuchen sollten.

Demonstrierte Fähigkeiten

Dieses Projekt demonstriert praktische Erfahrung in:

• Linux-Administration
• Linux-Kernel-Forschung
• Quellcode-Analyse
• Git- und Patch-Analyse
• Netzwerktechnik
• IPsec / XFRM
• Docker
• Detection Engineering
• SIEM
• Splunk
• Wazuh
• auditd
• Threat Hunting
• Incident Response
• MITRE ATT&CK
• Technische Dokumentation

Repository-Struktur

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

Lern-Roadmap

Die Dokumentation ist so konzipiert, dass sie in der folgenden Reihenfolge gelesen wird.

Phase 1 – Labor aufbauen

Lernen Sie, wie Sie eine Linux-Forschungsumgebung mit Docker vorbereiten und ein reproduzierbares Labor konfigurieren.

Themen umfassen:

• Umgebungsvorbereitung
• Docker
• Netzwerktechnik
• Kernel-Quellcode
• Kernel-Kompilierung

Phase 2 – Forschung

Studieren Sie den Linux-Kernel selbst.

Themen umfassen:

• Kernel-Versionsanalyse
• Linux-Quellbaum
• XFRM-Subsystem
• sk_buff
• Copy-on-Write
• Quellcode-Analyse
• Patch-Vergleich

Phase 3 – Detection Engineering

Lernen Sie, wie Verteidiger verdächtige Aktivitäten rund um Dirty Frag erkennen.

Themen umfassen:

• auditd
• Splunk
• Wazuh
• Linux Audit Framework
• SIEM-Korrelation
• Erkennungsregeln
• Untersuchungs-Workflows

Phase 4 – Threat Hunting

Führen Sie proaktive Suchen nach Indikatoren für eine Kompromittierung durch.

Themen umfassen:

• Log-Korrelation
• Prozessausführung
• Kernel-Modul-Aktivität
• Authentifizierungsereignisse
• Dateiintegrität
• Netzwerkaktivität

Laborumgebung

Die Forschung wurde in einer isolierten Laborumgebung durchgeführt.

Beispielkomponenten umfassen:

• Kali Linux (Forschungs-Workstation)
• Ubuntu Linux
• Docker
• Linux-Kernel-Quellcode
• Git
• Python
• auditd
• Splunk
• Wazuh

Während dieser Forschung wurden keine Produktionssysteme verwendet.

Verwendete Werkzeuge

Zielgruppe

Dieses Repository richtet sich an:

• SOC-Analysten
• Detection Engineers
• Threat Hunter
• Incident Responder
• Linux-Administratoren
• Sicherheitsforscher
• VAPT-Ingenieure
• Studenten, die Linux-Sicherheit lernen

Was dieses Repository NICHT abdeckt

Dieses Projekt konzentriert sich auf defensive Sicherheitsforschung.

Es stellt nicht bereit:

• Offensive Exploitation-Anleitungen
• Bösartige Payloads
• Bewaffnete Proof of Concepts
• Anleitungen zum Angriff auf Produktionssysteme

Das Ziel ist es, das Verständnis für Linux-Kernel-Sicherheit zu verbessern und defensive Fähigkeiten zu stärken.

Referenzen

• Linux-Kernel-Dokumentation
• Linux-XFRM-Dokumentation
• MITRE ATT&CK
• Hersteller-Sicherheitshinweise
• Offizieller CVE-Eintrag

Lizenz

Dieses Projekt wird unter der MIT-Lizenz veröffentlicht.

Danksagungen

Dank an:

• Linux-Kernel-Entwickler
• Sicherheitsforscher, die die Schwachstelle verantwortungsvoll offengelegt haben
• Die Open-Source-Sicherheitsgemeinschaft