🛡️ CVE-2026-46300 - Fragnesia

Un ataque limpio y mortal a la caché de páginas

Variante de la familia "Dirty Frag"

📌 Descripción general

CVE-2026-46300 (Fragnesia) es un fallo lógico de alta gravedad en el manejo de búferes de socket del núcleo Linux (skb_try_coalesce()) dentro del subsistema XFRM/ESP-in-TCP (espintcp ULP).

Un atacante local sin privilegios puede lograr escrituras arbitrarias de bytes en la caché de páginas del núcleo de cualquier archivo legible — incluidos binarios del sistema como /usr/bin/su — lo que conduce a una escalada de privilegios local a root confiable.

✨ Puntos clave

• ✅ No requiere condición de carrera
• ✅ Funciona puramente en la caché de páginas (archivos en disco intactos)
• ✅ Utiliza splice() / sendfile() + descifrado AES-GCM controlado
• ✅ Prueba de concepto pública disponible
• ✅ Afecta a la mayoría de las distribuciones principales de Linux

🛠 Demostración

Causa raíz: Propagación incorrecta del marcador SKBFL_SHARED_FRAG al fusionar búferes de socket, permitiendo que el descifrado controlado por el atacante corrompa páginas de la caché de páginas.

🎯 Impacto

🛡️ Mitigación

1. Actualizar (Recomendado)

Actualice al último núcleo parcheado de su distribución.

2. Solución temporal inmediata

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/fragnesia.conf"
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

3. Vaciar la caché de páginas (si es sospechoso)

sudo sh -c 'echo 3 > /proc/sys/vm/drop_caches'

📥 Prueba de concepto

Repositorio: v12-security/pocs - Fragnesia

⚠️ Solo con fines educativos y defensivos.

📚 Referencias

• Blog de seguridad de AlmaLinux
• Aviso de seguridad de Ubuntu
• Advertencia de seguridad de Red Hat
• Discusión de parches en la lista de correo netdev de Linux