CVE-2026-43284 (Dirty Frag) – Recherche sur une vulnérabilité du noyau Linux

Vue d'ensemble

Ce dépôt documente un projet complet de recherche en sécurité défensive axé sur CVE-2026-43284 (Dirty Frag), une vulnérabilité du noyau Linux affectant le sous-système réseau XFRM/IPsec.

L'objectif de ce projet est non pas d'exploiter la vulnérabilité, mais de comprendre son fonctionnement, de la reproduire en toute sécurité dans un laboratoire contrôlé, d'analyser le code source du noyau Linux, d'étudier le correctif de sécurité et de développer des techniques pratiques de détection et de réponse aux incidents utilisables par les professionnels de la sécurité.

Le projet combine la recherche sur le noyau Linux, les réseaux, les opérations SOC, l'ingénierie de détection et la réponse aux incidents dans un portfolio pratique unique.

Objectifs du projet

Ce projet a été créé pour :

• Comprendre le sous-système réseau de Linux.
• Apprendre les mécanismes internes du noyau Linux.
• Étudier le traitement des paquets à l'intérieur du noyau.
• Analyser la cause racine de Dirty Frag.
• Comparer le code source vulnérable et corrigé.
• Construire un laboratoire de recherche sûr et reproductible.
• Développer des règles de détection avec auditd, Splunk et Wazuh.
• Effectuer du threat hunting.
• Pratiquer la réponse aux incidents.
• Mapper les comportements des attaquants vers MITRE ATT&CK.
• Produire une documentation utile pour les équipes VAPT, SOC, DFIR et les administrateurs Linux.

À propos de CVE-2026-43284

Dirty Frag est une vulnérabilité du noyau Linux située dans le sous-système réseau XFRM/IPsec.

Plutôt que de simplement reproduire une preuve de concept (PoC), ce dépôt se concentre sur la compréhension de :

• Pourquoi la vulnérabilité existe.
• Quels composants du noyau sont impliqués.
• Comment les paquets traversent la pile réseau.
• Pourquoi la protection Copy-on-Write a échoué.
• Comment les développeurs Linux ont corrigé le problème.
• Comment les défenseurs peuvent détecter une activité suspecte.
• Comment les répondants aux incidents doivent enquêter sur les systèmes affectés.

Compétences démontrées

Ce projet démontre une expérience pratique dans :

• Administration Linux
• Recherche sur le noyau Linux
• Analyse de code source
• Analyse Git et de correctifs
• Réseaux
• IPsec / XFRM
• Docker
• Ingénierie de détection
• SIEM
• Splunk
• Wazuh
• auditd
• Threat Hunting
• Réponse aux incidents
• MITRE ATT&CK
• Documentation technique

Structure du dépôt

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

Feuille de route d'apprentissage

La documentation est conçue pour être lue dans l'ordre suivant.

Phase 1 – Construire le laboratoire

Apprenez à préparer un environnement de recherche Linux avec Docker et à configurer un laboratoire reproductible.

Les sujets abordés incluent :

• Préparation de l'environnement
• Docker
• Réseaux
• Code source du noyau
• Compilation du noyau

Phase 2 – Recherche

Étudiez le noyau Linux lui-même.

Les sujets abordés incluent :

• Analyse de la version du noyau
• Arborescence source Linux
• Sous-système XFRM
• sk_buff
• Copy-on-Write
• Analyse de code source
• Comparaison de correctifs

Phase 3 – Ingénierie de détection

Apprenez comment les défenseurs détectent les activités suspectes liées à Dirty Frag.

Les sujets abordés incluent :

• auditd
• Splunk
• Wazuh
• Framework d'audit Linux
• Corrélation SIEM
• Règles de détection
• Flux de travail d'investigation

Phase 4 – Threat Hunting

Effectuez des recherches proactives d'indicateurs de compromission.

Les sujets abordés incluent :

• Corrélation de journaux
• Exécution de processus
• Activité des modules du noyau
• Événements d'authentification
• Intégrité des fichiers
• Activité réseau

Environnement de laboratoire

La recherche a été réalisée dans un environnement de laboratoire isolé.

Les composants types incluent :

• Kali Linux (poste de travail de recherche)
• Ubuntu Linux
• Docker
• Code source du noyau Linux
• Git
• Python
• auditd
• Splunk
• Wazuh

Aucun système de production n'a été utilisé durant cette recherche.

Outils utilisés

Public visé

Ce dépôt est destiné à :

• Analystes SOC
• Ingénieurs de détection
• Threat Hunters
• Répondants aux incidents
• Administrateurs Linux
• Chercheurs en sécurité
• Ingénieurs VAPT
• Étudiants apprenant la sécurité Linux

Ce que ce dépôt ne couvre PAS

Ce projet se concentre sur la recherche en sécurité défensive.

Il ne fournit pas :

• De guides d'exploitation offensive
• De charges malveillantes
• De preuves de concept militarisées
• D'instructions pour attaquer des systèmes de production

L'objectif est d'améliorer la compréhension de la sécurité du noyau Linux et de renforcer les capacités défensives.

Références

• Documentation du noyau Linux
• Documentation XFRM de Linux
• MITRE ATT&CK
• Avis de sécurité des fournisseurs
• Enregistrement officiel CVE

Licence

Ce projet est publié sous la licence MIT.

Remerciements

Merci à :

• Aux développeurs du noyau Linux
• Aux chercheurs en sécurité qui ont divulgué la vulnérabilité de manière responsable
• À la communauté open-source de la sécurité