CVE-2026-46300-Fragnesia---Projet de laboratoire TryHackMe

Ce projet documente la réalisation et l'analyse du laboratoire TryHackMe Fragnesia (CVE-2026-46300), qui illustre une vulnérabilité de corruption du cache de pages du noyau Linux capable d'atteindre une escalade de privilèges locale en modifiant les pages de fichiers mises en cache sans altérer les fichiers sur le disque.

Objectifs du laboratoire

. Comprendre la chaîne de vulnérabilité Fragnesia. . Analyser les techniques de corruption du cache de pages Linux. . Observer l'escalade de privilèges d'un utilisateur non privilégié au root hôte. . Comprendre le rôle de :

• skb_try_coalesce()
• SKBFL_SHARED_FRAG
• traitement de réception ESP-in-TCP
• déchiffrement AES-GCM en place . Valider les procédures d'atténuation et de nettoyage.

Environnement

Composant	Détails
plateforme	TryHackMe
Vulnérabilité	CVE-2026-46300
OS	Ubuntu 22.04.5 LTS
Noyau	Linux 6.8.0-1017-aws
Utilisateur	Karen
Niveau de privilège	Utilisateur non privilégié

Résumé de la vulnérabilité

Fragnesia est une vulnérabilité du noyau Linux qui permet une modification déterministe des pages de fichiers sauvegardées par le cache de pages via le chemin de réception ESP-in-TCP.

La vulnérabilité provient d'une gestion incorrecte des fragments de tampon de socket partagés lors du coalescing de paquets, permettant des modifications contrôlées d'octets dans le contenu des fichiers en cache.

Caractéristiques principales

Propriété	Valeur
CVE	CVE-2026-46300
Sous-système	xfrm ESP-in-TCP
Primitive	écriture d'1 octet
Condition de course requise	Non
Potentiel d'évasion de conteneur	Oui
Cible	Cache de pages Linux

Déroulement de l'exploitation

Étape 1 – Corruption du cache de pages

L'exploit a été compilé et exécuté à partir d'un compte utilisateur non privilégié.

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

L'exploit a modifié la copie en cache de :

/usr/bin/su

sans altérer le fichier stocké sur le disque.

Étape 2 – Root d'espace de noms

L'exploit a créé un espace de noms utilisateur et obtenu l'UID 0 dans cet espace de noms.

Vérification :

whoami
root

Cependant, les tentatives d'accès aux ressources protégées ont échoué :

cat /root/flag.txt
permission denied

Ceci a démontré que le root d'espace de noms n'équivaut pas au root hôte.

Étape 3 – Escalade vers root hôte

Après avoir quitté le shell de l'espace de noms :

exit
/usr/bin/su

La copie corrompue du cache de pages de /usr/bin/su a exécuté du code contrôlé par l'attaquant.

Vérification :

whoami
root

id
uid=0(root) gid=0(root)

Le processus possédait désormais de véritables privilèges root au niveau hôte.

Drapeau

THM{fragnesia_skb_coalesce_amnesia}

Vérification

Pour vérifier que l'exploit n'a affecté que la mémoire :

sha256sum /usr/bin/su

Le hachage correspond à celui du binaire d'origine, confirmant que :

• Le fichier disque est resté inchangé.
• Seule la copie du cache de pages a été modifiée.

Nettoyage

Les entrées corrompues du cache de pages ont été supprimées en utilisant :

sudo sh -c 'echo 3 > /proc/sys/vm/drop_caches'

Après l'éviction du cache, /usr/bin/su est revenu à un comportement normal et a nécessité une authentification.

Leçons de sécurité apprises

• Les correctifs du noyau peuvent introduire de nouvelles vulnérabilités dans le même sous-système.
• La corruption du cache de pages reste une technique puissante d'escalade de privilèges.
• Le root d'espace de noms et le root hôte sont des contextes de sécurité fondamentalement différents.
• Une surveillance de l'intégrité basée uniquement sur les hachages disque peut échouer à détecter les attaques par cache de pages.
• Les modifications résidant en mémoire peuvent contourner les contrôles d'intégrité des fichiers traditionnels.

Compétences démontrées

• Escalade de privilèges Linux
• Analyse des vulnérabilités du noyau
• Fonctionnement interne du cache de pages
• Espaces de noms utilisateur
• Sécurité des processus Linux
• Validation d'exploit
• Vérification des mesures d'atténuation
• Analyse d'incidents

Références

TryHackMe – Fragnesia (CVE-2026-46300) Documentation du noyau Linux Matériaux de recherche sur CVE-2026-46300

Auteur

Ejepu Benedict Amaechi

Projet réalisé et documenté dans le cadre d'une formation pratique en cybersécurité sur TryHackMe.