🔴 Fragnesia — CVE-2026-46300

लिनक्स कर्नेल में विशेषाधिकार वृद्धि · CVSS 7.8 · 14 मई 2026 को प्रकट

केवल जागरूकता के लिए रिपॉजिटरी। इस रिपॉजिटरी में शोषण कोड नहीं है। इसका उद्देश्य सिस्टम प्रशासकों, इंजीनियरों और सुरक्षा टीमों को भेद्यता की प्रकृति और उपलब्ध उपचार उपायों के बारे में सूचित करना है।

📋 सारांश

🧬 संदर्भ और वंशावली

Fragnesia, लिनक्स कर्नेल के IPsec सबसिस्टम में दो सप्ताह के भीतर खोजी गई श्रृंखला की तीसरी भेद्यता है:

Dirty Frag (CVE-2026-43284)  ──►  Copy Fail (CVE-2026-43500)  ──►  Fragnesia (CVE-2026-46300)
         Mai 2026                        Mai 2026                        14 mai 2026

विडंबना यह है कि Dirty Frag के पैच ने अप्रत्यक्ष रूप से Fragnesia की कमजोरी को सक्रिय कर दिया — CVE-2026-43284 के सुधार ने एक कोड पथ पेश किया, जिसने 2013 के एक commit से विद्यमान एक पुराने बग को उजागर कर दिया।

"Fragnesia को CVE-2026-43284 को ठीक करने वाले पैच द्वारा आकस्मिक रूप से सक्रिय किया गया था।"
— Hyunwoo Kim, Dirty Frag के खोजकर्ता

🔬 तकनीकी विश्लेषण

बग की उत्पत्ति

यह कमजोरी कर्नेल के socket-buffer कोड में skb_try_coalesce() फ़ंक्शन में निहित है। बफ़र्स के बीच फ़्रैगमेंट्स को मर्ज करते समय, SKBFL_SHARED_FRAG मार्कर का प्रचार नहीं किया जाता था, जिससे कर्नेल को इस बात का पता नहीं रहता था कि कोई फ़्रैगमेंट page cache के पेजों से जुड़ा था (जैसे: splice() के माध्यम से मेमोरी में मैप की गई फ़ाइल)।

शोषण श्रृंखला

1. L'attaquant ouvre un socket TCP  
2. Il splice() des pages d'un fichier read-only (ex. /usr/bin/su) dans la receive queue  
3. Le socket bascule en mode espintcp (ULP)  
4. Le noyau traite les pages du fichier comme du texte chiffré ESP  
5. La décryption AES-GCM in-place écrit des octets contrôlés dans le page cache  
6. /usr/bin/su en mémoire est corrompu → exécution de code root au prochain appel

उल्लेखनीय विशेषताएँ

• ✅ कोई race condition नहीं — 100% नियतात्मक (deterministic) शोषण
• ✅ डिस्क में कोई बदलाव नहीं — केवल मेमोरी में मौजूद प्रति को बदला जाता है (एक reboot स्थिति को बहाल कर देता है)
• ✅ user namespaces का उपयोग करता है (डिफ़ॉल्ट रूप से सक्षम) ताकि उच्च अधिकारों के बिना CAP_NET_ADMIN प्राप्त किया जा सके
• ✅ हमलावर द्वारा पठनीय कोई भी फ़ाइल लक्षित की जा सकती है, केवल su ही नहीं
• ⚠️ डिस्क-आधारित पारंपरिक उपकरणों द्वारा पता लगाना कठिन

🎯 प्रभावित सिस्टम

13 मई 2026 से पहले प्रकाशित सभी लिनक्स कर्नेल, जिनमें SKBFL_SHARED_FRAG तंत्र शामिल है।

प्रभावित वितरणों में मुख्य रूप से शामिल हैं:

उच्च जोखिम वाले वातावरण

• 🏢 बहु-उपयोगकर्ता सर्वर और jump servers
• ☸️ Kubernetes worker नोड्स
• 🏗️ साझा CI/CD फ़ार्म और build runners
• ☁️ उपयोगकर्ता कोड चलाने वाले cloud SaaS प्लेटफ़ॉर्म
• 🐳 कंटेनर क्लस्टर (होस्ट पर साझा page cache)

🛡️ उपचार

1. पैच — स्थायी समाधान

पैच किए गए कर्नेल में अपडेट करें:

# Debian / Ubuntu
sudo apt-get update && sudo apt-get dist-upgrade -y
sudo reboot
uname -r  # Vérifier la version du nouveau noyau

# RHEL / AlmaLinux / Rocky Linux
sudo dnf clean metadata && sudo dnf upgrade -y
sudo reboot

# Arch Linux
sudo pacman -Syu
sudo reboot

2. अस्थायी शमन — कमजोर मॉड्यूल्स को निष्क्रिय करना

यदि तुरंत अपडेट संभव न हो:

# Décharger les modules actifs
sudo rmmod esp4 esp6 rxrpc 2>/dev/null; true

# Blacklister définitivement les modules
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
  | sudo tee /etc/modprobe.d/fragnesia.conf

# Régénérer initramfs (Debian/Ubuntu)
sudo update-initramfs -u

⚠️ Dirty Frag के लिए इस्तेमाल की गई वही मॉड्यूल blacklist Fragnesia को भी कवर करती है।

3. सिस्टम की एक्सपोज़र जाँच करें

# Vérifier si les modules vulnérables sont chargés
lsmod | grep -E '^esp4|^esp6|^rxrpc'
# Si la commande retourne du contenu → le système est exposé

# Vérifier la version du noyau actuel
uname -r
cat /etc/os-release

4. अतिरिक्त उपाय (कंटेनर / क्लाउड वातावरण)

• Seccomp के माध्यम से AF_ALG सॉकेट के निर्माण पर रोक लगाएँ
• अन-प्रिविलेज्ड user namespaces के निर्माण को ब्लॉक करें
• /etc/passwd, /etc/sudoers, /etc/shadow, /usr/bin/su तक असामान्य पहुँच की निगरानी करें
• अन-प्रिविलेज्ड उपयोगकर्ताओं के लिए splice, add_key और unshare सिस्टम कॉल को प्रतिबंधित करें

5. पोस्ट-शोषण — page cache फ्लश करना

यदि पैच लगाने से पहले शोषण की आशंका हो:

sync; echo 3 | sudo tee /proc/sys/vm/drop_caches

⚠️ यह केवल मेमोरी में मौजूद प्रति को साफ़ करता है। यदि हमलावर को पहले ही root अधिकार मिल चुके हैं और बैकडोर इंस्टॉल कर चुका है, तो यह कमांड पर्याप्त नहीं है — सिस्टम को पूर्ण रूप से समझौता किया हुआ मानें।

🔍 पता लगाना

समझौते के संकेतक (IoC)

डिटेक्शन उपकरणों को निम्न पर नज़र रखनी चाहिए:

• /usr/bin/su, /usr/bin/sudo, /bin/bash तक मेमोरी में असामान्य पहुँच या संशोधन
• असामान्य सिस्टम कॉल: अन-प्रिविलेज्ड उपयोगकर्ताओं द्वारा splice(), add_key(), unshare()
• ऐसे सिस्टम पर network user namespaces का निर्माण जहाँ इसकी उम्मीद नहीं है
• अन-प्रिविलेज्ड उपयोगकर्ता सॉकेट्स पर espintcp नेटवर्क गतिविधि

🔎 केवल डिस्क फ़ाइल विश्लेषण पर आधारित सुरक्षा उपकरण इस शोषण का पता नहीं लगा सकते, क्योंकि डिस्क पर मौजूद बाइनरी बरकरार रहती है।

📚 आधिकारिक संदर्भ

• 🔗 Red Hat एडवाइज़री — CVE-2026-46300
• 🔗 अपस्ट्रीम netdev पैच
• 🔗 AlmaLinux ब्लॉग — Fragnesia
• 🔗 Tenable FAQ — CVE-2026-46300
• 🔗 TuxCare — तकनीकी विश्लेषण
• 🔗 Help Net Security — प्रकटीकरण
• 🔗 NSFOCUS CERT एडवाइज़री
• 🔗 LinuxSecurity.com
• 🔗 SOC Prime ब्लॉग

⚖️ कानूनी एवं नैतिक चेतावनी

यह रिपॉजिटरी पूर्णतः शैक्षिक और रक्षात्मक उद्देश्य से प्रकाशित की गई है। इसमें कोई शोषण कोड (PoC) नहीं है।

इस रिपॉजिटरी में मौजूद जानकारी का दुर्भावनापूर्ण उद्देश्यों के लिए या तृतीय-पक्ष सिस्टम पर स्पष्ट अनुमति के बिना कोई भी उपयोग अवैध और अनैतिक है। लेखक इन सूचनाओं के दुरुपयोग के लिए कोई ज़िम्मेदारी नहीं लेता है।

जिम्मेदार प्रकटीकरण (Responsible Disclosure) — यदि आप कोई भेद्यता खोजते हैं, तो जिम्मेदार प्रकटीकरण की प्रथाओं का पालन करें और किसी भी प्रकाशन से पहले संबंधित सुरक्षा टीमों से संपर्क करें।

👤 लेखक

Maxime288 — github.com/Maxime288

सुरक्षा निगरानी रिपॉजिटरी — लिनक्स की गंभीर भेद्यताओं पर नज़र