डर्टी फ्रैग — कर्नेल पैच

Hyunwoo Kim (@v4bel) द्वारा खोजी गई डर्टी फ्रैग भेद्यता श्रेणी के लिए पैच श्रृंखला।

डर्टी फ्रैग एक अविशेषाधिकार प्राप्त स्थानीय उपयोगकर्ता को केवल-पठनीय फ़ाइलों (जैसे /usr/bin/su, /etc/passwd) के पेज कैश के मनमाने बाइट्स को अधिलेखित करने की अनुमति देता है, जिससे सभी प्रमुख Linux वितरणों पर रूट तक स्थानीय विशेषाधिकार वृद्धि होती है।

⚠️ श्रेय

इस रिपॉजिटरी में मौजूद पैच इस रिपो के अनुरक्षक द्वारा नहीं लिखे गए थे।

• CVE-2026-43284 (ESP पैच): Hyunwoo Kim (@v4bel) और Kuan-Ting Chen द्वारा लिखित। कमिट f4c50a4034e6 पर Linux कर्नेल मेनलाइन में विलय।
• CVE-2026-43500 (RxRPC पैच): Hyunwoo Kim (@v4bel) द्वारा लिखित। afKV2zGR6rrelPC7@v4bel पर netdev मेलिंग सूची में प्रस्तुत, विलय लंबित।

यह रिपॉजिटरी उन पैचों का एक स्वरूपित दर्पण है, जिन्हें सुविधा के लिए git am-तैयार प्रारूप में यहाँ एकत्र किया गया है। सभी श्रेय मूल लेखकों को जाता है। मूल शोध और PoC: https://github.com/V4bel/dirtyfrag

पैच

प्रभावित कर्नेल संस्करण

• CVE-2026-43284 (ESP): 4.10 (कमिट cac2661c53f3, 2017-01-17) से 6.x पूर्व-f4c50a4034e6 तक के कर्नेल
• CVE-2026-43500 (RxRPC): 6.4 (कमिट 2dc334f1a63a, 2023-06-08) से अपस्ट्रीम तक के कर्नेल (अभी तक कोई पैच विलय नहीं हुआ)

कैसे लागू करें

कर्नेल सोर्स ट्री पर लागू करें

git clone https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git
cd linux

# पैच 1 लागू करें (ESP — CVE-2026-43284)
git am 0001-net-xfrm-fix-page-cache-write-via-esp-splice-CVE-2026-43284.patch

# पैच 2 लागू करें (RxRPC — CVE-2026-43500)
git am 0002-net-rxrpc-fix-page-cache-write-via-rxkad-splice-CVE-2026-43500.patch

patch के साथ लागू करें (यदि संदर्भ विचलन के कारण git am विफल हो जाता है)

patch -p1 < 0001-net-xfrm-fix-page-cache-write-via-esp-splice-CVE-2026-43284.patch
patch -p1 < 0002-net-rxrpc-fix-page-cache-write-via-rxkad-splice-CVE-2026-43500.patch

तत्काल शमन (कर्नेल पुनर्संकलन की आवश्यकता नहीं)

यदि आप पैच तुरंत लागू नहीं कर सकते हैं, तो भेद्य मॉड्यूल को ब्लैकलिस्ट करें:

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
    > /etc/modprobe.d/dirtyfrag.conf && \
    rmmod esp4 esp6 rxrpc 2>/dev/null; \
    echo 3 > /proc/sys/vm/drop_caches"

चेतावनी: esp4/esp6 को हटाने से IPsec ESP अक्षम हो जाता है। उत्पादन प्रणालियों पर लागू करने से पहले प्रभाव का मूल्यांकन करें।

तकनीकी सारांश

मूल कारण

दोनों प्रकार एक ही मूल कारण साझा करते हैं: कर्नेल का शून्य-प्रतिलिपि splice() पथ कॉपी-ऑन-राइट शब्दार्थ के बिना एक केवल-पठनीय पेज-कैश पेज को सीधे skb फ्रैग में रोपित करता है। बाद में स्थान-में क्रिप्टो संचालन उस पेज-कैश पेज में लिखते हैं, जिससे कैश की गई फ़ाइल सामग्री स्थायी रूप से संशोधित हो जाती है।

splice(file_fd → pipe → socket)
         │
         ▼
  skb->frags[0].page = &page_cache_page_P   <- कोई CoW नहीं!
         │
         ▼
  [esp_input / rxkad_verify_packet_1]
  स्थान-में AEAD/fcrypt डिक्रिप्ट  src == dst == &P
         │
         ▼
  STORE to page_cache_page_P     <- केवल-पठनीय फ़ाइल कैश में मनमाना लेखन

फिक्स रणनीति

संदर्भ

• मूल PoC और लेख: https://github.com/V4bel/dirtyfrag
• CVE-2026-43284: https://www.cve.org/CVERecord?id=CVE-2026-43284
• CVE-2026-43500: https://www.cve.org/CVERecord?id=CVE-2026-43500
• मेनलाइन कमिट (ESP फिक्स): https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
• RxRPC पैच (netdev ML): https://lore.kernel.org/all/afKV2zGR6rrelPC7@v4bel/
• कॉपी फेल (पूर्वज भेद्यता): https://copy.fail/
• डर्टी पाइप (समान बग श्रेणी): https://dirtypipe.cm4all.com/