CVE-2026-46300-Fragnesia---TryHackMe-Proyecto de Laboratorio

El proyecto documenta la finalización y el análisis del laboratorio Fragnesia (CVE-2026-46300) de TryHackMe, que demuestra una vulnerabilidad de corrupción de la caché de páginas del kernel de Linux capaz de lograr una escalada local de privilegios mediante la modificación de páginas de archivos en caché sin alterar los archivos en disco.

Objetivos del Laboratorio

. Comprender la cadena de vulnerabilidad Fragnesia. . Analizar las técnicas de corrupción de la caché de páginas de Linux. . Observar la escalada de privilegios desde un usuario no privilegiado a root del host. . Comprender el papel de:

• skb_try_coalesce()
• SKBFL_SHARED_FRAG
• procesamiento de recepción ESP-in-TCP
• descifrado AES-GCM en el lugar . Validar los procedimientos de mitigación y limpieza.

Entorno

Resumen de la Vulnerabilidad

Fragnesia es una vulnerabilidad del kernel de Linux que permite la modificación determinista de páginas de archivos respaldadas por la caché de páginas a través de la ruta de recepción ESP-in-TCP.

La vulnerabilidad se origina en el manejo incorrecto de fragmentos compartidos del búfer de socket durante la coalescencia de paquetes, permitiendo modificaciones controladas de bytes en el contenido de archivos en caché.

Características Clave

Flujo de Explotación

etapa 1 - Corrupción de la caché de páginas

El exploit fue compilado y ejecutado desde una cuenta de usuario no privilegiado.

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

El exploit modificó la copia en caché de:

/usr/bin/su

Sin alterar el archivo almacenado en disco.

Etapa 2 - Root del Namespace

El exploit creó un namespace de usuario y obtuvo UID 0 dentro de ese namespace.

Verificación:

 whoami
 root

Sin embargo, los intentos de acceder a recursos protegidos fallaron:

 cat /root/flag.txt
 permision denied

Esto demostró que el root del namespace no equivale al root del host.

Etapa 3 - Escalada a Root del Host

Después de salir del shell del namespace:

exit
/usr/bin/su

La copia corrupta de /usr/bin/su en la caché de páginas ejecutó código controlado por el atacante.

Verificación:

whoami
root

id
uid=0(root) gid=0(root)

El proceso ahora poseía privilegios genuinos de root a nivel de host.

Bandera

THM{fragnesia_skb_coalesce_amnesia}

Verificación

Para verificar que el exploit solo afectó a la memoria:

sha256sum /usr/bin/su

El hash coincidió con el binario original, confirmando que: . El archivo en disco permaneció sin cambios. . Solo se modificó la copia en la caché de páginas.

Limpieza

Las entradas corruptas de la caché de páginas se eliminaron usando:

sudo sh -c 'echo 3 > /proc/sys/vm/ drop_caches'

Después de la expulsión de la caché, /usr/bin/su volvió a su comportamiento normal y requirió autenticación.

Lecciones de Seguridad Aprendidas

• Los parches del kernel pueden introducir nuevas vulnerabilidades dentro del mismo subsistema.
• La corrupción de la caché de páginas sigue siendo una técnica poderosa de escalada de privilegios.
• El root del namespace y el root del host son contextos de seguridad fundamentalmente diferentes.
• La monitorización de integridad basada únicamente en hashes de disco puede no detectar ataques a la caché de páginas.
• Las modificaciones residentes en memoria pueden eludir los controles tradicionales de integridad de archivos.

Habilidades Demostradas

• Escalada de Privilegios en Linux
• Análisis de Vulnerabilidades del Kernel
• Internos de la Caché de Páginas
• Namespaces de Usuario
• Seguridad de Procesos en Linux
• Validación de Exploits
• Verificación de Mitigaciones de Seguridad
• Análisis de Incidentes

Referencias

TryHackMe – Fragnesia (CVE-2026-46300) Documentación del Kernel de Linux Materiales de Investigación de CVE-2026-46300

autor

Ejepu Benedict Amaechi Proyecto completado y documentado como parte de la formación práctica en ciberseguridad en TryHackMe.