Dirty Frag / CVE-2026-43284 — Notas de investigación

Resumen

Este repositorio contiene un diagrama técnico depurado y notas complementarias para la vulnerabilidad del kernel de Linux comúnmente conocida como Dirty Frag y rastreada para la ruta xfrm-ESP como CVE-2026-43284.

El problema pertenece a la clase más amplia de Dirty Frag descubierta por Hyunwoo Kim (@v4bel). Una variante relacionada con RxRPC se rastrea por separado como CVE-2026-43500.

El propósito de este material es:

• explicar el mecanismo del fallo a nivel de sistemas;
• documentar la relación entre XFRM ESP, encapsulado UDP, splice(), fragmentos skb, páginas respaldadas por archivos y corrupción de la caché de páginas;
• proporcionar un diagrama listo para publicación en informes, casos de estudio y resúmenes de defensa.

Este repositorio no es una guía de explotación.

En términos prácticos, el repositorio expande y documenta la prueba de concepto original pública de Dirty Frag ESP en una forma más inspeccionable. Los materiales incluidos están destinados únicamente a sistemas Linux de 64 bits.

---

Cómo funciona

A alto nivel, el problema está ligado a un manejo defectuoso in situ en la ruta de recepción de xfrm ESP.

La cadena es la siguiente:

1. un proceso local sin privilegios ingresa a un nuevo espacio de usuario y de red con unshare(CLONE_NEWUSER | CLONE_NEWNET);
2. las Asociaciones de Seguridad XFRM se instalan a través de un socket Netlink;
3. cada Asociación de Seguridad almacena 4 bytes de una pequeña carga útil ELF de 192 bytes en el estado del Número de Secuencia Extendido;
4. páginas de solo lectura de /usr/bin/su se mueven a una ruta de paquetes UDP mediante splice() y SPLICE_F_MOVE;
5. el paquete transporta una página respaldada por archivo como un fragmento skb;
6. la ruta de recepción ESP realiza una actualización in situ de la ventana de repetición donde la página del fragmento se trata como escribible;
7. escrituras de 4 bytes caen en la página respaldada por la caché de páginas;
8. el archivo en disco permanece sin cambios, pero la representación en memoria en caché se corrompe;
9. una ejecución posterior puede usar la variante modificada en lugar del contenido limpio del disco.

---

---

Qué contiene este repositorio

• poc/dirtyfrag_sim.cpp — artefacto fuente de investigación en C++ depurado
• poc/dirtyfrag — artefacto binario de 64 bits compilado
• docs/dirtyfrag-flow.png — diagrama generado para publicación

Compilación binaria

El repositorio también incluye un artefacto binario C++ compilado a partir del archivo fuente C++. Ejemplo de comando de compilación:

g++ -std=c++17 -o poc/dirtyfrag poc/dirtyfrag.cpp

---

Versiones afectadas

Kernels desde cac2661c53f3 (2017-01-17) hasta f4c50a4034e6 (2026-05-05, corrección publicada).

La ventana de exposición efectiva es de aproximadamente 9 años.

Aviso legal

Este repositorio se proporciona únicamente para investigación defensiva, documentación y análisis educativo.

No lo utilice para atacar sistemas reales, modificar ejecutables con privilegios u obtener acceso no autorizado.

La clase de vulnerabilidad fue descubierta por Hyunwoo Kim (@v4bel). Este repositorio es un artefacto de investigación independiente depurado, destinado a un análisis más rápido.

---

Referencias

• Investigación original de Dirty Frag y cadena: V4bel/dirtyfrag
• Explicación original: dirtyfrag write-up
• Corrección del kernel para CVE-2026-43284: commit f4c50a4034e6