⚠️ Avertissement éthique et légal Cet outil est réservé aux tests de sécurité légaux et autorisés — pentests sous contrat, laboratoires/CTF, ou actifs vous appartenant. Toute utilisation sans l'autorisation du propriétaire du système constitue une infraction pénale (UU ITE, Computer Fraud and Abuse Act, etc.). L'utilisateur est entièrement responsable.

📖 Résumé de la vulnérabilité

CVE-2026-46300 est une vulnérabilité d'élévation de privilèges locale (LPE) dans le noyau Linux causée par une régression dans skb_try_coalesce() entraînant une corruption du page-cache, exploitée via le sous-système XFRM ESP-in-TCP (espintcp).

Ce dépôt contient 2 composants :

🏗 Flux de travail

┌───────────────────────┐
│   fragnesia.sh        │
│   Audit 3 pemeriksaan │
└──────────┬────────────┘
           ▼
   CHECKS_TRIGGERED > 0 ?
   ┌──────┴───────┐
   │ Ya           │ Tidak → Selesai (target aman)
   ▼              │
   Cek fragnesia.c ada?
   ┌──────┴───────┐
   │ Ya           │ Tidak → instruksi, selesai
   ▼              │
   Konfirmasi user [y/N]
   ┌──────┴───────┐
   │ Ya           │ Tidak → batal, selesai
   ▼              │
   gcc -O2 -w fragnesia.c -o exp
   │
   ▼
   ./exp   ← eksekusi exploit

⚙️ Exigences système

Opérateur (hôte où le script est exécuté) :

• Linux (bash) — testé sur Kali / Ubuntu / Debian
• gcc pour la compilation de l'exploit
• Accès shell (local/SSH) à la cible

Cible (pour être potentiellement vulnérable) :

• Noyau affecté par CVE-2026-46300 (sans le patch skb_try_coalesce())
• CONFIG_XFRM_ESPINTCP / CONFIG_INET_ESPINTCP actives (=y/m)
• Espace de noms utilisateur non privilégié activé (kernel.unprivileged_userns_clone=1)
• Accès local en tant qu'utilisateur non-root (pour la validation LPE)

📥 Installation

# 1. Clone
git clone https://github.com/Kentox493/CVE-2026-46300_Fragnesia.git
cd CVE-2026-46300_Fragnesia

# 2. Pastikan script executable
chmod +x fragnesia.sh

# 3. (Opsional) Toolchain bila belum ada
sudo apt update && sudo apt install -y build-essential
# atau (RHEL/Fedora)
sudo dnf groupinstall "Development Tools"

🚀 Utilisation

./fragnesia.sh

fragnesia.c et fragnesia.sh doivent se trouver dans le même répertoire, car le script recherche l'exploit de manière relative.

Déroulement interactif

1. Le script exécute automatiquement 3 vérifications d'audit.

2. Si une indication de vulnérabilité est détectée (CHECKS_TRIGGERED > 0), une invite s'affiche :

   root@kitploit:~

   [?] Target terdeteksi vulnerable (2/3). Lanjut kompilasi & eksekusi exploit? [y/N]:
   

3. Saisissez y → le script compile et exécute automatiquement l'exploit.

4. Saisissez autre chose que y / Entrée → l'exécution est annulée, l'audit se termine.

Contournement manuel (sans audit)

gcc -O2 -w fragnesia.c -o exp
./exp

🔍 Détail des vérifications d'audit

Étape 1 — Vérification de l'hôte et du noyau

Vérifie le nom d'hôte + le noyau actif, puis consulte le changelog du paquet kernel de la distribution (apt-get changelog / rpm -q --changelog) pour détecter la présence du patch CVE-2026-46300.

Étape 2 — Configuration des sous-systèmes du noyau (XFRM / ESP)

Vérifie le flag ESP-in-TCP dans /boot/config-$(uname -r) ou /proc/config.gz. Repli : détection des modules XFRM/IPsec via /lib/modules/ ou lsmod.

Étape 3 — Prérequis d'isolation des espaces de noms utilisateur

Vérifie kernel.unprivileged_userns_clone (repli : /proc/sys/user/max_user_namespaces).

Interprétation du score final

💣 Phase d'exécution de l'exploit

Cette phase n'est active que si CHECKS_TRIGGERED > 0. Ce que le script exécute :

# 1. Verifikasi keberadaan fragnesia.c
# 2. Konfirmasi user (default: TIDAK / N)
# 3. Kompilasi exploit:
gcc -O2 -w fragnesia.c -o exp

# 4. Eksekusi:
./exp

Notes sur les flags de compilation :

• -O2 — optimisation niveau 2 (cruciale pour un exploit basé sur une course/timing afin d'être stable)
• -w — supprime les avertissements (le code source d'un exploit contient généralement de nombreux avertissements int-conversion, etc.)

Gestion d'erreurs intégrée au script :

📸 Exemple de sortie

┌──────────────────────────────────────────────────────────────────┐
│  FRAGNESIA (CVE-2026-46300) - HOST VULNERABILITY AUDIT TOOL      │
│  Linux Kernel Page-Cache / XFRM espintcp Regression Inspector    │
└──────────────────────────────────────────────────────────────────┘

┌──[STEP 1] Host & Kernel Verification
│  [i] INFO        │ Hostname      : webserver-01
│  [i] INFO        │ Active Kernel : 6.8.0-45-generic
│  [!] VULNERABLE  │ Patch Changelog -> No security patch found for CVE-2026-46300
└──

┌──[STEP 2] Kernel Subsystems Configuration (XFRM / ESP)
│  [!] VULNERABLE  │ ESP-in-TCP Flag -> CONFIG_XFRM_ESPINTCP / CONFIG_INET_ESPINTCP active (=y/m)
└──

┌──[STEP 3] User Namespace Isolation Prerequisite
│  [!] VULNERABLE  │ User Namespaces -> Enabled (Allows unprivileged user to gain CAP_NET_ADMIN)
└──

┌──────────────────────────────────────────────────────────────────┐
│                       EXECUTIVE AUDIT SUMMARY                    │
└──────────────────────────────────────────────────────────────────┘
[!] AUDIT RESULT: CRITICAL - TARGET IS HIGHLY VULNERABLE
    Semua prasyarat rantai serangan (Kernel patch, ESP subsistem, dan Userns) terpenuhi.

┌──────────────────────────────────────────────────────────────────┐
│           OPSIONAL: EKSEKUSI EXPLOIT FRAGNESIA (LPE)             │
└──────────────────────────────────────────────────────────────────┘

[i] fragnesia.c ditemukan (18,432 bytes).

[?] Target terdeteksi vulnerable (3/3). Lanjut kompilasi & eksekusi exploit? [y/N]: y

┌──[STEP 4] Kompilasi & Eksekusi Exploit (fragnesia.c)
│  [i] INFO        : Toolchain: gcc (Ubuntu 13.2.0-23ubuntu4) 13.2.0
│  $ gcc -O2 -w fragnesia.c -o exp
│  [✓] Kompilasi berhasil -> ./exp
│  $ ./exp
│  [*] Fragnesia exploit running...
│  [*] Overwriting page cache...
│  [*] Got root! uid=0(root) gid=0(root)
└──

🛡 Remédiation (pour l'équipe Blue Team)

1. Correctif du noyau — mettre à niveau vers la version contenant le correctif skb_try_coalesce() du fournisseur de la distribution.
2. Désactivez les espaces de noms utilisateur non privilégiés (temporaire) :
   root@kitploit:~

   sudo sysctl -w kernel.unprivileged_userns_clone=0
   

   Persistant : ajoutez-le à /etc/sysctl.conf.
3. Blacklistez le module ESP si le serveur ne fournit pas de VPN/IPsec :
   root@kitploit:~

   echo 'install esp4_offload /bin/true' | sudo tee /etc/modprobe.d/disable-esp.conf
   sudo update-initramfs -u
   

4. Détection & durcissement :
   • Surveillez les binaires suspects nommés exp / les processus anormaux dans /tmp
   • Limitez CAP_NET_ADMIN dans les conteneurs et les espaces de noms utilisateur
   • Utilisez un LSM (AppArmor/SELinux) pour restreindre la création d'espaces de noms

📁 Structure du dépôt

CVE-2026-46300_Fragnesia/
├── fragnesia.sh     # Audit scanner + trigger eksekusi exploit (bash)
├── fragnesia.c      # Source exploit LPE (C)
└── README.md        # Dokumentasi ini

⚖️ Avertissement & Licence

Réservé à un usage légal. Cet outil est destiné à :

• Tests d'intrusion professionnels (contrat écrit)
• Recherche en sécurité & divulgation responsable
• Environnements de laboratoire / CTF

Vous devez obtenir l'autorisation écrite du propriétaire du système avant d'exécuter cet outil sur toute infrastructure.

Le dépôt est fourni « en l'état » sans aucune garantie. Les contributeurs ne sont pas responsables de toute mauvaise utilisation.

Licence : MIT

📚 Références

• CVE-2026-46300 — NVD / MITRE
• Noyau skb_try_coalesce() — documentation de la pile réseau
• CVE-2022-0185 — référence pour une technique LPE similaire par page-cache