fragnesia-go

Un SA. Un octet à la fois. Aucune course.

Portage Go de fragnesia (CVE-2026-46300). Membre de la classe de vulnérabilités Dirty Frag - bug distinct, même surface, correctif propre.

Comment ça fonctionne (tl;dr)

Le bug se situe dans le sous-système Linux XFRM ESP-in-TCP. Lorsque TCP_ULP espintcp est installé sur un socket après que des données ont déjà été splice()ées d'un fichier dans la file de réception TCP, le noyau traite les données en file comme un enregistrement de chiffré ESP et les déchiffre en place. La source de ces données est une page du cache de pages. Le déchiffrement XORe le flux de clé AES-GCM directement dans cette page.

Le résultat est une écriture contrôlée d'un seul octet dans le cache de pages de n'importe quel fichier lisible.

Table du flux de clé

Le bloc de compteur AES-GCM (RFC 4106) en position 2 est [salt(4) || IV(8) || 0x00000002]. Son chiffrement sous la clé de session donne un bloc de flux de clé de 16 octets. L'octet 0 de ce bloc est celui qui est XORé dans l'octet cible. En faisant varier les 32 bits de poids faible du nonce IV, toutes les 256 valeurs possibles d'octet de flux de clé sont atteignables parmi les 65536 premiers nonces. L'exploit construit cette table de correspondance une fois au démarrage via AF_ALG AES-ECB.

Boucle de bascule d'octets

Pour chaque octet de la charge utile :

1. Lire la valeur actuelle du fichier (cache de pages).
2. Calculer flux_necessaire = actuel XOR desire.
3. Rechercher le nonce pour cet octet de flux de clé.
4. Définir l'IV, déclencher une paire de déclencheurs TCP (l'émetteur splice() la page du fichier dans le socket, le récepteur retarde l'installation de TCP_ULP jusqu'à ce que les données soient en file).
5. Résultat : actuel XOR flux = actuel XOR (actuel XOR desire) = desire.

Un SA. 192 déclencheurs maximum. Déterministe.

Utilisation

go build -o fragnesia-go .
./fragnesia-go

En cas de succès, il ouvre un shell root via un nouveau PTY. Le binaire sur disque n'est pas modifié - cache de pages uniquement.

Nettoyage

echo 1 | tee /proc/sys/vm/drop_caches

Prérequis

• Linux - noyau non corrigé (voir ci-dessous)
• Aucun outil externe - Go pur, un seul binaire statique
• Module noyau : esp6 (mode transport, bouclage IPv6)

Noyaux affectés

Tous les noyaux antérieurs au correctif : https://lists.openwall.net/netdev/2026/05/13/79

Même plage que dirtyfrag.

Atténuation

Identique à dirtyfrag :

rmmod esp4 esp6
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\n' \
  > /etc/modprobe.d/fragnesia.conf

Comparaison avec dirtyfrag-go

Références

• v12-security/pocs - fragnesia - PoC C d'origine
• CVE-2026-46300 - Red Hat
• Correctif du noyau

Crédits

• William Bowling / équipe V12 - découverte de la vulnérabilité et PoC d'origine