CVE-2026-43284 (Dirty Frag) – Investigación de Vulnerabilidad del Kernel de Linux

Resumen

Este repositorio documenta un proyecto completo de investigación de seguridad defensiva centrado en CVE-2026-43284 (Dirty Frag), una vulnerabilidad del kernel de Linux que afecta al subsistema de red XFRM/IPsec.

El objetivo de este proyecto no es explotar la vulnerabilidad, sino comprender cómo funciona, reproducirla de forma segura en un laboratorio controlado, analizar el código fuente del kernel de Linux, estudiar el parche de seguridad y construir técnicas prácticas de detección y respuesta a incidentes que puedan ser utilizadas por profesionales de la seguridad.

El proyecto combina investigación del kernel de Linux, redes, operaciones de SOC, Ingeniería de Detección y Respuesta a Incidentes en un único portafolio práctico.

Objetivos del Proyecto

Este proyecto fue creado para:

• Comprender el subsistema de red de Linux.
• Aprender los internals del kernel de Linux.
• Estudiar el procesamiento de paquetes dentro del kernel.
• Analizar la causa raíz de Dirty Frag.
• Comparar el código fuente vulnerable y el parcheado.
• Construir un laboratorio de investigación seguro y reproducible.
• Desarrollar reglas de detección usando auditd, Splunk y Wazuh.
• Realizar threat hunting.
• Practicar la respuesta a incidentes.
• Mapear los comportamientos del atacante a MITRE ATT&CK.
• Producir documentación útil para VAPT, SOC, DFIR y administradores de Linux.

Acerca de CVE-2026-43284

Dirty Frag es una vulnerabilidad del kernel de Linux ubicada dentro del subsistema de red XFRM/IPsec.

En lugar de simplemente reproducir una Prueba de Concepto (PoC), este repositorio se centra en comprender:

• Por qué existe la vulnerabilidad.
• Qué componentes del kernel están involucrados.
• Cómo se mueven los paquetes a través de la pila de red.
• Por qué falló la protección de Copy-on-Write.
• Cómo los desarrolladores de Linux corrigieron el problema.
• Cómo los defensores pueden detectar actividad sospechosa.
• Cómo los respondedores de incidentes deben investigar los sistemas afectados.

Habilidades Demostradas

Este proyecto demuestra experiencia práctica en:

• Administración de Linux
• Investigación del Kernel de Linux
• Análisis de Código Fuente
• Git y Análisis de Parches
• Redes
• IPsec / XFRM
• Docker
• Ingeniería de Detección
• SIEM
• Splunk
• Wazuh
• auditd
• Threat Hunting
• Respuesta a Incidentes
• MITRE ATT&CK
• Documentación Técnica

Estructura del Repositorio

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

Hoja de Ruta de Aprendizaje

La documentación está diseñada para leerse en el siguiente orden.

Fase 1 – Construir el Laboratorio

Aprende cómo preparar un entorno de investigación de Linux usando Docker y configurar un laboratorio reproducible.

Los temas incluyen:

• Preparación del entorno
• Docker
• Redes
• Código fuente del kernel
• Compilación del kernel

Fase 2 – Investigación

Estudia el kernel de Linux en sí mismo.

Los temas incluyen:

• Análisis de la versión del kernel
• Árbol de código fuente de Linux
• Subsistema XFRM
• sk_buff
• Copy-on-Write
• Análisis de código fuente
• Comparación de parches

Fase 3 – Ingeniería de Detección

Aprende cómo los defensores detectan actividad sospechosa relacionada con Dirty Frag.

Los temas incluyen:

• auditd
• Splunk
• Wazuh
• Linux Audit Framework
• Correlación SIEM
• Reglas de detección
• Flujos de trabajo de investigación

Fase 4 – Threat Hunting

Realiza búsquedas proactivas de indicadores de compromiso.

Los temas incluyen:

• Correlación de registros
• Ejecución de procesos
• Actividad de módulos del kernel
• Eventos de autenticación
• Integridad de archivos
• Actividad de red

Entorno de Laboratorio

La investigación se realizó en un entorno de laboratorio aislado.

Los componentes de ejemplo incluyen:

• Kali Linux (Estación de Trabajo de Investigación)
• Ubuntu Linux
• Docker
• Código Fuente del Kernel de Linux
• Git
• Python
• auditd
• Splunk
• Wazuh

No se utilizaron sistemas de producción durante esta investigación.

Herramientas Utilizadas

Audiencia Destinataria

Este repositorio está destinado a:

• Analistas de SOC
• Ingenieros de Detección
• Threat Hunters
• Respondedores de Incidentes
• Administradores de Linux
• Investigadores de Seguridad
• Ingenieros de VAPT
• Estudiantes que aprenden seguridad en Linux

Lo Que Este Repositorio NO Cubre

Este proyecto se centra en investigación de seguridad defensiva.

No proporciona:

• Guías de explotación ofensiva
• Payloads maliciosos
• Pruebas de Concepto armadas
• Instrucciones para atacar sistemas de producción

El objetivo es mejorar la comprensión de la seguridad del kernel de Linux y fortalecer las capacidades defensivas.

Referencias

• Documentación del Kernel de Linux
• Documentación de XFRM de Linux
• MITRE ATT&CK
• Avisos de Seguridad del Proveedor
• Registro Oficial de CVE

Licencia

Este proyecto se publica bajo la Licencia MIT.

Agradecimientos

Gracias a:

• Desarrolladores del Kernel de Linux
• Investigadores de seguridad que divulgaron responsablemente la vulnerabilidad
• Comunidad de seguridad de código abierto