⚠️ Advertencia Ética y Legal Esta herramienta solo sirve para pruebas de seguridad legítimas y autorizadas — pentest contratado, laboratorio/CTF o activos propios. El uso sin permiso del propietario del sistema es un delito (UU ITE, Computer Fraud and Abuse Act, etc.). El usuario asume toda la responsabilidad.

📖 Resumen de la Vulnerabilidad

CVE-2026-46300 es una vulnerabilidad de escalada de privilegios local (LPE) en el kernel de Linux debida a una regresión en skb_try_coalesce() que provoca corrupción de la page-cache, explotada a través del subsistema XFRM ESP-in-TCP (espintcp).

Este repositorio contiene 2 componentes:

🏗 Flujo de Trabajo

┌───────────────────────┐
│   fragnesia.sh        │
│   Audit 3 pemeriksaan │
└──────────┬────────────┘
           ▼
   CHECKS_TRIGGERED > 0 ?
   ┌──────┴───────┐
   │ Ya           │ Tidak → Selesai (target aman)
   ▼              │
   Cek fragnesia.c ada?
   ┌──────┴───────┐
   │ Ya           │ Tidak → instruksi, selesai
   ▼              │
   Konfirmasi user [y/N]
   ┌──────┴───────┐
   │ Ya           │ Tidak → batal, selesai
   ▼              │
   gcc -O2 -w fragnesia.c -o exp
   │
   ▼
   ./exp   ← eksekusi exploit

⚙️ Requisitos del Sistema

Operador (host donde se ejecuta el script):

• Linux (bash) — probado en Kali / Ubuntu / Debian
• gcc para compilar el exploit
• Acceso a shell (local/SSH) al objetivo

Objetivo (para ser potencialmente vulnerable):

• Kernel afectado por CVE-2026-46300 (sin el parche de skb_try_coalesce())
• CONFIG_XFRM_ESPINTCP / CONFIG_INET_ESPINTCP activos (=y/m)
• Namespaces de usuario sin privilegios habilitados (kernel.unprivileged_userns_clone=1)
• Acceso local como usuario no root (para validar la LPE)

📥 Instalación

# 1. Clone
git clone https://github.com/Kentox493/CVE-2026-46300_Fragnesia.git
cd CVE-2026-46300_Fragnesia

# 2. Pastikan script executable
chmod +x fragnesia.sh

# 3. (Opsional) Toolchain bila belum ada
sudo apt update && sudo apt install -y build-essential
# atau (RHEL/Fedora)
sudo dnf groupinstall "Development Tools"

🚀 Uso

./fragnesia.sh

fragnesia.c y fragnesia.sh deben estar en el mismo directorio, ya que el script busca el exploit de forma relativa.

Flujo interactivo

1. El script ejecuta 3 comprobaciones de auditoría automáticas.

2. Si hay indicios de vulnerabilidad (CHECKS_TRIGGERED > 0), aparece el prompt:

   root@kitploit:~

   [?] Target terdeteksi vulnerable (2/3). Lanjut kompilasi & eksekusi exploit? [y/N]:
   

3. Escribe y → el script compila y ejecuta el exploit automáticamente.

4. Escribir cualquier otra cosa / Enter → se cancela la ejecución y la auditoría termina.

Bypass manual (sin auditoría)

gcc -O2 -w fragnesia.c -o exp
./exp

🔍 Detalle de las Comprobaciones de Auditoría

Paso 1 — Verificación del host y del kernel

Verifica el hostname y el kernel activo, y luego comprueba el changelog del paquete del kernel de la distro (apt-get changelog / rpm -q --changelog) para ver si existe el parche de CVE-2026-46300.

Paso 2 — Configuración de los Subsistemas del Kernel (XFRM / ESP)

Comprueba las flags de ESP-in-TCP en /boot/config-$(uname -r) o /proc/config.gz. Alternativa: detección de módulos XFRM/IPsec vía /lib/modules/ o lsmod.

Paso 3 — Prerrequisito de Aislamiento de Namespaces de Usuario

Comprueba kernel.unprivileged_userns_clone (alternativa: /proc/sys/user/max_user_namespaces).

Interpretación de la Puntuación Final

💣 Fase de Ejecución del Exploit

Esta fase solo se activa si CHECKS_TRIGGERED > 0. Lo que ejecuta el script:

# 1. Verifikasi keberadaan fragnesia.c
# 2. Konfirmasi user (default: TIDAK / N)
# 3. Kompilasi exploit:
gcc -O2 -w fragnesia.c -o exp

# 4. Eksekusi:
./exp

Notas sobre las banderas de compilación:

• -O2 — optimización de nivel 2 (crucial para que un exploit basado en race/timing sea estable)
• -w — suprime warnings (el código fuente del exploit suele estar lleno de warnings de int-conversion, etc.)

Manejo de errores integrado en el script:

📸 Ejemplo de Salida

┌──────────────────────────────────────────────────────────────────┐
│  FRAGNESIA (CVE-2026-46300) - HOST VULNERABILITY AUDIT TOOL      │
│  Linux Kernel Page-Cache / XFRM espintcp Regression Inspector    │
└──────────────────────────────────────────────────────────────────┘

┌──[STEP 1] Host & Kernel Verification
│  [i] INFO        │ Hostname      : webserver-01
│  [i] INFO        │ Active Kernel : 6.8.0-45-generic
│  [!] VULNERABLE  │ Patch Changelog -> No security patch found for CVE-2026-46300
└──

┌──[STEP 2] Kernel Subsystems Configuration (XFRM / ESP)
│  [!] VULNERABLE  │ ESP-in-TCP Flag -> CONFIG_XFRM_ESPINTCP / CONFIG_INET_ESPINTCP active (=y/m)
└──

┌──[STEP 3] User Namespace Isolation Prerequisite
│  [!] VULNERABLE  │ User Namespaces -> Enabled (Allows unprivileged user to gain CAP_NET_ADMIN)
└──

┌──────────────────────────────────────────────────────────────────┐
│                       EXECUTIVE AUDIT SUMMARY                    │
└──────────────────────────────────────────────────────────────────┘
[!] AUDIT RESULT: CRITICAL - TARGET IS HIGHLY VULNERABLE
    Semua prasyarat rantai serangan (Kernel patch, ESP subsistem, dan Userns) terpenuhi.

┌──────────────────────────────────────────────────────────────────┐
│           OPSIONAL: EKSEKUSI EXPLOIT FRAGNESIA (LPE)             │
└──────────────────────────────────────────────────────────────────┘

[i] fragnesia.c ditemukan (18,432 bytes).

[?] Target terdeteksi vulnerable (3/3). Lanjut kompilasi & eksekusi exploit? [y/N]: y

┌──[STEP 4] Kompilasi & Eksekusi Exploit (fragnesia.c)
│  [i] INFO        : Toolchain: gcc (Ubuntu 13.2.0-23ubuntu4) 13.2.0
│  $ gcc -O2 -w fragnesia.c -o exp
│  [✓] Kompilasi berhasil -> ./exp
│  $ ./exp
│  [*] Fragnesia exploit running...
│  [*] Overwriting page cache...
│  [*] Got root! uid=0(root) gid=0(root)
└──

🛡 Remediación (para Blue Team)

1. Parchear el kernel — actualice a la versión que incluya el fix de skb_try_coalesce() del vendor de la distro.
2. Deshabilitar los namespaces de usuario sin privilegios (temporal):
   root@kitploit:~

   sudo sysctl -w kernel.unprivileged_userns_clone=0
   

   Persistente: añádalo a /etc/sysctl.conf.
3. Poner en lista negra el módulo ESP si el servidor no presta servicio VPN/IPsec:
   root@kitploit:~

   echo 'install esp4_offload /bin/true' | sudo tee /etc/modprobe.d/disable-esp.conf
   sudo update-initramfs -u
   

4. Detección y hardening:
   • Monitoree binarios extraños llamados exp o procesos sospechosos en /tmp
   • Restrinja CAP_NET_ADMIN en contenedores y namespaces de usuario
   • Use LSM (AppArmor/SELinux) para limitar la creación de namespaces

📁 Estructura del Repositorio

CVE-2026-46300_Fragnesia/
├── fragnesia.sh     # Audit scanner + trigger eksekusi exploit (bash)
├── fragnesia.c      # Source exploit LPE (C)
└── README.md        # Dokumentasi ini

⚖️ Descargo de Responsabilidad y Licencia

Solo para uso legítimo. Esta herramienta está pensada para:

• Pruebas de penetración profesionales (contrato por escrito)
• Investigación de seguridad y divulgación responsable
• Entornos de laboratorio / CTF

Usted debe tener autorización por escrito del propietario del sistema antes de ejecutar esta herramienta en cualquier infraestructura.

El repositorio se proporciona "tal cual", sin garantía alguna. Los contribuyentes no se hacen responsables de su mal uso.

Licencia: MIT

📚 Referencias

• CVE-2026-46300 — NVD / MITRE
• Kernel skb_try_coalesce() — documentación de la pila de red
• CVE-2022-0185 — referencia técnica de LPE por page-cache similar