fragnesia-go

Ein SA. Ein Byte nach dem anderen. Kein Wettlauf.

Go-Port von fragnesia (CVE-2026-46300). Mitglied der Dirty Frag-Schwachstellenklasse – eigener Fehler, gleiche Oberfläche, eigener Patch.

So funktioniert es (tl;dr)

Der Fehler liegt im Linux-XFRM-ESP-in-TCP-Subsystem. Wenn TCP_ULP espintcp auf einem Socket installiert wird, nachdem Daten bereits per splice() von einer Datei in die TCP-Empfangsqueue übertragen wurden, behandelt der Kernel die queued Daten als ESP-Chiffretext-Record und entschlüsselt sie direkt am Ort. Die Quelle dieser Daten ist eine Page-Cache-Seite. Die Entschlüsselung XORt den AES-GCM-Schlüsselstrom direkt hinein.

Das Ergebnis ist ein kontrollierter Ein-Byte-Schreibzugriff in den Page-Cache jeder lesbaren Datei.

Schlüsselstromtabelle

Der AES-GCM (RFC 4106)-Counter-Block an Position 2 ist [salt(4) || IV(8) || 0x00000002]. Die Verschlüsselung mit dem Sitzungsschlüssel ergibt einen 16-Byte-Schlüsselstromblock. Byte 0 dieses Blocks wird in das Ziel-Byte XORiert. Durch Variieren der unteren 32 Bits der IV-Nonce sind alle 256 möglichen Schlüsselstrom-Byte-Werte innerhalb der ersten 65536 Nonces erreichbar. Der Exploit erstellt diese Lookup-Tabelle einmalig beim Start über AF_ALG AES-ECB.

Byte-Flip-Schleife

Für jedes Byte der Nutzlast:

1. Lies den aktuellen Wert aus der Datei (Page Cache).
2. Berechne benötigter_Schlüsselstrom = aktuell XOR gewünscht.
3. Suche die Nonce für dieses Schlüsselstrom-Byte.
4. Setze die IV, löse ein TCP-Trigger-Paar aus (Sender splices die Dateiseite in den Socket, Empfänger verzögert die TCP_ULP-Installation, bis die Daten in der Queue sind).
5. Ergebnis: aktuell XOR schlüsselstrom = aktuell XOR (aktuell XOR gewünscht) = gewünscht.

Ein SA. Maximal 192 Trigger. Deterministisch.

Verwendung

go build -o fragnesia-go .
./fragnesia-go

Bei Erfolg wechselt es in eine Root-Shell über eine frische PTY. Die Binärdatei auf der Festplatte bleibt unberührt – nur Page Cache.

Bereinigung

echo 1 | tee /proc/sys/vm/drop_caches

Voraussetzungen

• Linux – nicht gepatchter Kernel (siehe unten)
• Keine externen Tools – reines Go, einzelne statische Binary
• Kernel-Modul: esp6 (Transportmodus, IPv6-Loopback)

Betroffene Kernel

Alle Kernel vor dem Patch: https://lists.openwall.net/netdev/2026/05/13/79

Gleicher Bereich wie dirtyfrag.

Gegenmaßnahme

Gleiche wie dirtyfrag:

rmmod esp4 esp6
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\n' \
  > /etc/modprobe.d/fragnesia.conf

Im Vergleich zu dirtyfrag-go

Referenzen

• v12-security/pocs - fragnesia – ursprünglicher C-PoC
• CVE-2026-46300 - Red Hat
• Kernel-Patch

Danksagungen

• William Bowling / V12-Team – Entdeckung der Schwachstelle und ursprünglicher PoC