DirtyFrag CVE-2026-43284 PoC सत्यापन और auditd पहचान

दायरा: CVE-2026-43284 से संबंधित XFRM/ESP पथ पर केंद्रित लिनक्स स्थानीय विशेषाधिकार वृद्धि (LPE) सत्यापन।

इस रिपॉजिटरी में सार्वजनिक DirtyFrag PoC के नियंत्रित प्रयोगशाला सत्यापन से एक अंग्रेजी रिपोर्ट और साक्ष्य कलाकृतियाँ शामिल हैं। ध्यान शोषण गाइड प्रदान करने पर नहीं है, बल्कि यह दस्तावेज़ीकरण करने पर है कि Linux ऑडिट लॉग में क्या दिखाई दे रहा था और उन घटनाओं को व्यावहारिक SOC पहचान तर्क में कैसे बदला जा सकता है।

पूर्ण PDF रिपोर्ट:

EN: reports/DirtyFrag_CVE-2026-43284_EN.pdf

PL: reports/DirtyFrag_CVE-2026-43284_PL.pdf

उद्देश्य और दायरा

यह परीक्षण यह सत्यापित करने के लिए किया गया था कि क्या एक सामान्य स्थानीय उपयोगकर्ता कमजोर प्रयोगशाला VM में रूट शेल प्राप्त कर सकता है और यह निर्धारित कर सकता है कि auditd के साथ कौन सी घटनाएँ कैप्चर की जा सकती हैं।

CVE-2026-43284 ESP/IPsec संचालन के दौरान साझा पृष्ठ खंडों के अनुचित प्रबंधन से संबंधित है। विशिष्ट परिस्थितियों में, एक स्थानीय हमलावर पेज कैश में डेटा को प्रभावित कर सकता है और विशेषाधिकार बढ़ा सकता है। Ubuntu सुरक्षा इस भेद्यता को CVSS 3.1: 7.8 उच्च के रूप में रेट करती है।

तकनीकी संदर्भ:

• सार्वजनिक DirtyFrag PoC रिपॉजिटरी: https://github.com/V4bel/dirtyfrag
• Ubuntu सुरक्षा - CVE-2026-43284: https://ubuntu.com/security/CVE-2026-43284
• Ubuntu ब्लॉग - Dirty Frag Linux भेद्यता सुधार उपलब्ध: https://ubuntu.com/blog/dirty-frag-linux-vulnerability-fixes-available

परीक्षण वातावरण

पूर्ण सिस्टम आधार रेखा: evidence/logs/system-info-table.md

परिणाम

PoC निष्पादन से पहले, परीक्षण संदर्भ एक सामान्य उपयोगकर्ता खाता था। ./exp चलाने के बाद, एक रूट शेल प्राप्त किया गया और whoami और id से पुष्टि की गई।

साक्ष्य संग्रह

परीक्षण के बाद, auditd लॉग और सारांश आउटपुट को एक स्थानीय साक्ष्य निर्देशिका में निर्यात किया गया और इस रिपॉजिटरी में कॉपी किया गया।

रिपॉजिटरी संरचना

auditd पहचान तर्क

सबसे उपयोगी पहचान एकल घटना नहीं है। सबसे मजबूत संकेत छोटी समयावधि में देखी गई पूरी श्रृंखला है:

user namespace -> vmsplice/splice -> ESP/XFRM -> su -> root shell with AUID of a normal user

प्रासंगिक auditd कुंजियाँ

पुनर्निर्मित घटना श्रृंखला

उदाहरण SIEM सहसंबंध

IF
  dirty_frag_unshare by auid>=1000
  AND count(dirty_frag_vmsplice + dirty_frag_splice by same exe or pid) >= 3 within 600s
  AND MAC_IPSEC_EVENT / XFRM activity within 1200s
  AND (dirty_frag_su_exec OR execve with euid=0 and auid>=1000) within 1200s
THEN
  alert = "Possible DirtyFrag CVE-2026-43284 Linux LPE"
  severity = high/critical

SOC अनुशंसाएँ

• कर्नेल को पैच करें और अद्यतन के बाद पैच किए गए कर्नेल में रीबूट लागू करें।
• auditd, Falco, eBPF-आधारित उपकरण या EDR के साथ सिस्कॉल टेलीमेट्री एकत्र करें।
• केवल एक euid=0 घटना पर अलर्ट न करें; यह वैध sudo उपयोग को भी पकड़ता है।
• unshare, vmsplice, splice, XFRM/ESP गतिविधि, su, और सामान्य उपयोगकर्ता सत्र से रूट प्रक्रिया निर्माण को सहसंबंधित करें।
• जहां एप्लिकेशन संगतता अनुमति देती है, वहां kernel.unprivileged_userns_clone को प्रतिबंधित करने पर विचार करें।
• जांचें कि क्या किसी दिए गए होस्ट वर्ग पर ESP/IPsec मॉड्यूल आवश्यक हैं और जहां उपयुक्त हो, अनावश्यक मॉड्यूल लोडिंग को प्रतिबंधित करें।
• लॉग को दूरस्थ कलेक्टर या SIEM पर अग्रेषित करें; LPE के बाद, स्थानीय लॉग को हमलावर द्वारा संशोधित किया जा सकता है।
• auditd गुणवत्ता की निगरानी करें: परीक्षण और उत्पादन निगरानी के दौरान lost को 0 रहना चाहिए।
• एक Linux LPE ट्राइएज प्लेबुक बनाए रखें जिसमें होस्ट आइसोलेशन, ऑडिट लॉग संग्रह, चल रहे कर्नेल सत्यापन और लोडेड मॉड्यूल कैप्चर शामिल हो।

नोट्स

एकत्रित auditd स्थिति ने lost=2555 दिखाया, जिसका अर्थ है कि कुछ ऑडिट घटनाएँ गिराई गई हो सकती हैं। मुख्य श्रृंखला अभी भी दिखाई दे रही है, लेकिन भविष्य के परीक्षणों को ऑडिट बैकलॉग बढ़ाना चाहिए और PoC चलाने से पहले lost=0 की पुष्टि करनी चाहिए।

रिपोर्ट जानबूझकर CVE-2026-43284 / XFRM/ESP पर ध्यान केंद्रित करती है ताकि SOC पहचान दायरे को अन्य DirtyFrag-संबंधित पथों के साथ मिश्रित करने से बचा जा सके।