v4bel/dirtyfragExploit d'escalade de privilèges du noyau Linux enchaînant deux vulnérabilités d'écriture dans le cache de pages (CVE-2026-43284, CVE-2026-43500) pour un accès root déterministe sur les distributions majeures sans conditions de concurrence.
Ce document décrit la classe de vulnérabilité Dirty Frag, découverte et signalée pour la première fois par Hyunwoo Kim (@v4bel), qui permet d'obtenir les privilèges root sur les principales distributions Linux en enchaînant la vulnérabilité xfrm-ESP Page-Cache Write (CVE-2026-43284) et la vulnérabilité RxRPC Page-Cache Write (CVE-2026-43500).
Dirty Frag est un cas qui étend la classe de bugs à laquelle appartiennent Dirty Pipe et Copy Fail. Étant donné qu'il s'agit d'un bug logique déterministe qui ne dépend d'aucune fenêtre temporelle, aucune condition de concurrence n'est nécessaire, le noyau ne panique pas en cas d'échec de l'exploit et le taux de réussite est très élevé.
Pour des informations techniques détaillées et la chronologie, voir ici.
xfrm-ESP Page-Cache Write (CVE-2026-43284) a été corrigé dans le noyau principal f4c50a4034e6.RxRPC Page-Cache Write (CVE-2026-43500) a été corrigé dans le noyau principal aa54b1d27fe0.[!NOTE] Au moment où ce document a été rendu public pour la première fois (2026-05-07), l'embargo avait été rompu en raison de facteurs externes, donc aucun correctif ni CVE n'existait encore. Après consultation avec les mainteneurs sur [email protected] à ce moment-là, le document Dirty Frag a été publié à leur demande. Pour la chronologie de divulgation, reportez-vous aux détails techniques.
git clone https://github.com/V4bel/dirtyfrag.git && cd dirtyfrag && gcc -O0 -Wall -o exp exp.c -lutil && ./exp
Cette preuve de concept (PoC) est fournie en tant qu'informations précises après consultation avec linux-distros. Ne l'utilisez pas sur des systèmes que vous n'êtes pas autorisé à tester.
⚠️ Important : Après avoir exécuté cet exploit, le cache de pages est contaminé. Pour effacer le cache de pages pollué et assurer la stabilité du système, exécutez :
echo 3 > /proc/sys/vm/drop_caches
ou redémarrez le système.
En d'autres termes, la durée de vie effective des vulnérabilités est d'environ 9 ans.
Ce Dirty Frag a été testé sur les versions de distribution suivantes.
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"
xfrm-ESP Page-Cache Write fournit une primitive STORE arbitraire puissante de 4 octets, comme Copy Fail, et est incluse dans la plupart des distributions, mais elle nécessite le privilège de créer un espace de noms (namespace).
Ubuntu bloque parfois la création d'espaces de noms utilisateur non privilégiés via la politique AppArmor. Dans un tel environnement, xfrm-ESP Page-Cache Write ne peut pas être déclenchée. RxRPC Page-Cache Write ne nécessite pas le privilège de créer un espace de noms, mais le module rxrpc.ko lui-même n'est pas inclus dans la plupart des distributions. Cependant, sur Ubuntu, le module rxrpc.ko est chargé par défaut.
Enchaîner les deux variantes permet aux angles morts de se couvrir mutuellement, permettant d'obtenir les privilèges root sur chaque distribution majeure. Pour plus de détails, reportez-vous au document de détails techniques.
Oui, oui, je sais. Cependant, cette vulnérabilité est un descendant de "Dirty Pipe", et c'est une classe de bugs qui "salit" le membre frag de struct sk_buff, donc ce nom est le plus approprié.
Copy Fail a été la motivation pour démarrer cette recherche. En particulier, xfrm-ESP Page-Cache Write dans la chaîne de vulnérabilité Dirty Frag partage la même source (sink) que Copy Fail. Cependant, elle est déclenchée indépendamment de la disponibilité du module algif_aead. En d'autres termes, même sur les systèmes où l'atténuation publiquement connue de Copy Fail (liste noire d'algif_aead) est appliquée, votre Linux reste vulnérable à Dirty Frag.
Reportez-vous à la section Atténuation ci-dessus.