Dirty Frag — Parches del Kernel

Serie de parches para la clase de vulnerabilidad Dirty Frag descubierta por Hyunwoo Kim (@v4bel).

Dirty Frag permite a un usuario local sin privilegios sobrescribir bytes arbitrarios de la caché de páginas de archivos de solo lectura (p. ej. /usr/bin/su, /etc/passwd), lo que conduce a una escalada de privilegios local a root en todas las principales distribuciones de Linux.

⚠️ Atribución

Los parches de este repositorio NO fueron escritos por el mantenedor de este repositorio.

• CVE-2026-43284 (parche ESP): escrito por Hyunwoo Kim (@v4bel) y Kuan-Ting Chen. Integrado en la rama principal del kernel de Linux en el commit f4c50a4034e6.
• CVE-2026-43500 (parche RxRPC): escrito por Hyunwoo Kim (@v4bel). Enviado a la lista de correo netdev en afKV2zGR6rrelPC7@v4bel, pendiente de integración.

Este repositorio es un espejo formateado de esos parches, recopilados aquí por conveniencia en formato listo para git am. Todo el crédito corresponde a los autores originales. Investigación original y PoC: https://github.com/V4bel/dirtyfrag

Parches

Versiones de Kernel Afectadas

• CVE-2026-43284 (ESP): kernels desde 4.10 (commit cac2661c53f3, 2017-01-17) hasta 6.x anterior a f4c50a4034e6
• CVE-2026-43500 (RxRPC): kernels desde 6.4 (commit 2dc334f1a63a, 2023-06-08) hasta upstream (sin parche integrado aún)

Cómo Aplicar

Aplicar a un árbol de fuentes del kernel

git clone https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git
cd linux

# Apply patch 1 (ESP — CVE-2026-43284)
git am 0001-net-xfrm-fix-page-cache-write-via-esp-splice-CVE-2026-43284.patch

# Apply patch 2 (RxRPC — CVE-2026-43500)
git am 0002-net-rxrpc-fix-page-cache-write-via-rxkad-splice-CVE-2026-43500.patch

Aplicar con patch (si git am falla debido a desviación de contexto)

patch -p1 < 0001-net-xfrm-fix-page-cache-write-via-esp-splice-CVE-2026-43284.patch
patch -p1 < 0002-net-rxrpc-fix-page-cache-write-via-rxkad-splice-CVE-2026-43500.patch

Mitigación Inmediata (sin necesidad de recompilar el kernel)

Si no puede aplicar el parche de inmediato, bloquee los módulos vulnerables:

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
    > /etc/modprobe.d/dirtyfrag.conf && \
    rmmod esp4 esp6 rxrpc 2>/dev/null; \
    echo 3 > /proc/sys/vm/drop_caches"

Advertencia: Eliminar esp4/esp6 desactiva IPsec ESP. Evalúe el impacto antes de aplicar en sistemas de producción.

Resumen Técnico

Causa Raíz

Ambas variantes comparten la misma causa raíz: la ruta de splice() de copia cero del kernel coloca una página de caché de páginas de solo lectura directamente en un frag de skb sin semántica de copia en escritura. Las operaciones criptográficas posteriores in situ escriben entonces en esa página de caché de páginas, modificando permanentemente el contenido del archivo en caché.

splice(file_fd → pipe → socket)
         │
         ▼
  skb->frags[0].page = &page_cache_page_P   <- no CoW!
         │
         ▼
  [esp_input / rxkad_verify_packet_1]
  in-place AEAD/fcrypt decrypt  src == dst == &P
         │
         ▼
  STORE to page_cache_page_P     <- arbitrary write to read-only file cache

Estrategia de Corrección

Referencias

• PoC original y análisis: https://github.com/V4bel/dirtyfrag
• CVE-2026-43284: https://www.cve.org/CVERecord?id=CVE-2026-43284
• CVE-2026-43500: https://www.cve.org/CVERecord?id=CVE-2026-43500
• Commit en la rama principal (corrección ESP): https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
• Parche RxRPC (lista de correo netdev): https://lore.kernel.org/all/afKV2zGR6rrelPC7@v4bel/
• Copy Fail (vulnerabilidad antecesora): https://copy.fail/
• Dirty Pipe (misma clase de bug): https://dirtypipe.cm4all.com/