Resumen

Resumen de la vulnerabilidad

Un fallo de lógica en los subsistemas xfrm/ESP y RxRPC del kernel de Linux permite a un usuario local sin privilegios realizar una escritura arbitraria controlada y determinista en la caché de páginas de cualquier archivo legible del sistema, incluidos binarios setuid como /usr/bin/su.

La causa raíz es el descifrado in situ inseguro de fragmentos de buffer de socket compartido (skb) que hacen referencia a páginas de la caché de páginas, especialmente cuando se utiliza splice(2) o sendfile(2). Esto proporciona una potente primitiva de escritura arbitraria en la caché de páginas, que puede aprovecharse para sobrescribir archivos sensibles en memoria y lograr acceso root completo.

Se encadenan dos primitivas distintas para lograr una cobertura universal:

• CVE-2026-43284 — xfrm-ESP Page-Cache Write: comparte el mismo sumidero que Copy Fail, pero se desencadena a través de los módulos esp4/esp6, independientemente de si algif_aead está disponible. Requiere privilegios de creación de namespaces.
• CVE-2026-43500 — RxRPC Page-Cache Write: no requiere privilegios de namespace, pero debe estar presente rxrpc.ko (cargado por defecto en Ubuntu). Cubre los puntos ciegos de CVE-2026-43284.

Encadenar ambas variantes hace que cubran mutuamente sus puntos ciegos, logrando root fiable en todas las distribuciones principales.

Sin condiciones de carrera. Sin reintentos. Sin riesgo de crash. Determinista en todas las distribuciones probadas.

Importante: Incluso en sistemas donde se aplica la mitigación pública conocida de Copy Fail (lista negra de algif_aead), Dirty Frag sigue siendo explotable mediante CVE-2026-43284.

Comparación con vulnerabilidades anteriores

Impacto

• Atacante local sin privilegios → shell root
• Afecta prácticamente a todas las principales distribuciones Linux que incluyen kernels desde 2017
• Altamente fiable sin necesidad de condiciones de carrera
• Omite por completo la lista negra de algif_aead (solución de Copy Fail)
• El kernel no entra en pánico ante intentos fallidos de explotación

Versiones afectadas

CVE-2026-43284 (xfrm/ESP): kernel de Linux desde el commit cac2661c53f3 (2017-01-17) hasta f4c50a4034e6 (2026-05-05).

CVE-2026-43500 (RxRPC): kernel de Linux desde el commit 2dc334f1a63a (2023-06-08) hasta aa54b1d27fe0 (2026-05-10).

La vida útil efectiva de la cadena de vulnerabilidades es de aproximadamente 9 años.

Todas las principales distribuciones que incluyen kernels dentro de este rango están afectadas, entre ellas:

Explotación

Compilación y ejecución

gcc -O0 -Wall -o exp exp.c -lutil && ./exp

No lo utilices en sistemas en los que no estés autorizado a realizar pruebas.

Limpieza

⚠️ Importante: Después de ejecutar este exploit, la caché de páginas queda contaminada. Para limpiar la caché de páginas contaminada y garantizar la estabilidad del sistema, ejecuta:

echo 3 > /proc/sys/vm/drop_caches

o reinicia el sistema.

Mitigación

Opción 1 — Parche (Recomendado)

Actualiza a un kernel que contenga las correcciones de mainline y reinicia.

Corregido en mainline mediante:

• CVE-2026-43284: commit f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
• CVE-2026-43500: commit aa54b1d27fe0c2b78e664a34fd0fdf7cd1960d71

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / CentOS Stream
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE / openSUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

# Fedora
sudo dnf upgrade --refresh && sudo reboot

Opción 2 — Lista negra de módulos vulnerables (temporal)

Si no es posible parchear de inmediato, deshabilita los módulos vulnerables y limpia la caché de páginas.

# Blacklist vulnerable modules
sudo sh -c 'printf "install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n" > /etc/modprobe.d/dirtyfrag.conf'

# Unload modules immediately
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

# Drop page cache
echo 3 | sudo tee /proc/sys/vm/drop_caches >/dev/null

Qué afecta esta solución temporal

Opción 3 — seccomp / AppArmor (Defensa en profundidad)

Para cargas de trabajo no confiables — contenedores, runners de CI, entornos limitados (sandbox) — restringe la creación de sockets AF_ALG y splice() mediante políticas seccomp o AppArmor, independientemente del estado del parche. Esto limita la superficie de ataque incluso en kernels vulnerables, pero no es una solución completa.

Detección

Comprueba si los módulos vulnerables están cargados o en uso:

# Check if modules are loaded
lsmod | grep -E 'esp4|esp6|rxrpc'

# Check if any process has an AF_ALG socket open
lsof | grep AF_ALG
ss -xa | grep alg

# Confirm workaround is active after reboot
cat /etc/modprobe.d/dirtyfrag.conf

Referencias

Cronología de divulgación

Preguntas frecuentes

¿Por qué encadenar dos vulnerabilidades?

xfrm-ESP Page-Cache Write proporciona una potente primitiva STORE arbitraria de 4 bytes y está presente en la mayoría de las distribuciones, pero requiere privilegios de creación de namespaces — que Ubuntu a veces bloquea mediante AppArmor. RxRPC Page-Cache Write no requiere privilegios de namespace, pero rxrpc.ko no está incluido en la mayoría de las distribuciones — excepto Ubuntu, donde se carga por defecto. Encadenar ambas hace que sus puntos ciegos se cubran mutuamente, logrando root fiable en todas las distribuciones principales.

¿Qué relación tiene con Copy Fail (CVE-2026-31431)?

La primitiva xfrm-ESP comparte el mismo sumidero de escritura en la caché de páginas que CVE-2026-31431, pero se desencadena a través de los módulos esp4/esp6 independientemente de algif_aead. Aplicar la mitigación de CVE-2026-31431 (incluir algif_aead en la lista negra) no protege contra Dirty Frag.

¿Por qué el nombre «Dirty Frag»?

La vulnerabilidad ensucia el miembro frag de struct sk_buff, situándola en la misma clase de fallos que Dirty Pipe — fallos de lógica que permiten escrituras sin privilegios en la caché de páginas.

Descargo de responsabilidad

Este repositorio está destinado únicamente a fines educativos y de seguridad defensiva. No utilices ninguna información o código de este repositorio en sistemas que no poseas o para los que no tengas autorización escrita explícita para realizar pruebas.