dirtyfrag-audit

CVE-2026-43284 + CVE-2026-43500 "Dirty Frag" के लिए ऑडिट स्क्रिप्ट — एक श्रृंखलाबद्ध Linux कर्नेल स्थानीय विशेषाधिकार उन्नयन भेद्यता जिसे 2026-05-07 को एक कार्यशील सार्वजनिक एक्सप्लॉइट के साथ उजागर किया गया था, वितरण पैच उपलब्ध होने से पहले।

इसे "Copy Fail 2: Electric Boogaloo" के नाम से भी जाना जाता है — समान कोड पथ, भिन्न एक्सप्लॉइट लेखक।

---

Dirty Frag क्या है?

Dirty Frag दो अलग-अलग कर्नेल बगों को श्रृंखलाबद्ध करता है जिन्हें Hyunwoo Kim (@v4bel) ने खोजा था, प्रत्येक एक ही भेद्यता वर्ग को लक्षित करता है — पेज्ड बफ़र्स पर इन-प्लेस डिक्रिप्शन जो कर्नेल के विशेष स्वामित्व में नहीं हैं।

CVE-2026-43284 — xfrm-ESP Page-Cache Write

AF_INET / AF_INET6 socket (IPsec ESP)
  └── In-place decryption path (commit cac2661c53f3, Jan 2017)
        └── splice() feeds page cache pages as destination buffers
              └── Plaintext write at attacker-controlled offset in page cache
                    └── Target SUID binary in memory → root

• CVSS: 8.8 उच्च
• मॉड्यूल: esp4, esp6
• शुरू किया गया: जनवरी 2017 (CVE-2022-27666 के समान कमिट)
• मुख्यधारा फ़िक्स: f4c50a4034e6

CVE-2026-43500 — RxRPC पेज-कैश राइट

AF_RXRPC socket (Andrew File System / RxRPC protocol)
  └── Same in-place pattern added to rxrpc (June 2023)
        └── Same page-cache write primitive
              └── root

• CVSS: 7.8 उच्च
• मॉड्यूल: rxrpc
• शुरू किया गया: जून 2023
• मुख्यधारा फ़िक्स: aa54b1d27fe0

यह क्यों मायने रखता है

गुण	Dirty Cow (2016)	Dirty Pipe (2022)	Copy Fail (2026)	Dirty Frag (2026)
रेस कंडीशन	✅ आवश्यक	❌ नहीं	❌ नहीं	❌ नहीं
राइट ग्रैन्युलैरिटी	मनमाना	1 बाइट संरेखित	4 बाइट्स निश्चित	पूर्ण प्लेनटेक्स्ट, कोई भी ऑफ़सेट
डिस्क संशोधन	✅	❌	❌	❌
फ़ॉरेंसिक ट्रेस	✅	❌	❌	❌
कंटेनर एस्केप	सीमित	सीमित	संभव	हाँ (साझा पेज कैश)
सार्वजनिक एक्सप्लॉइट	✅	✅	✅	✅ पैच से पहले
हमले के वेक्टर	1	1	1	2 (esp + rxrpc)

---

प्रभावित कर्नेल

CVE-2026-43284 (esp4/esp6)

कर्नेल रेंज	स्थिति
< 4.14	✅ प्रभावित नहीं
4.14 – नवीनतम अनपैच्ड	❌ भेद्य
f4c50a4034e6 के साथ मुख्यधारा	✅ पैच किया गया

CVE-2026-43500 (rxrpc)

कर्नेल रेंज	स्थिति
< 6.4	✅ प्रभावित नहीं (पैटर्न अभी शुरू नहीं हुआ)
6.4 – नवीनतम अनपैच्ड	❌ भेद्य
aa54b1d27fe0 के साथ मुख्यधारा	✅ पैच किया गया

वितरण पैच स्थिति

वितरण	CVE-2026-43284	CVE-2026-43500	पैच किया गया संस्करण
AlmaLinux / RHEL 8	❌ प्रभावित	✅ शिप नहीं किया गया	kernel-4.18.0-553.123.2.el8_10
AlmaLinux / RHEL 9	❌ प्रभावित	⚠ केवल यदि kernel-modules-partner (Devel रेपो) इंस्टॉल हो	dnf upgrade के माध्यम से
AlmaLinux / RHEL 10	❌ प्रभावित	❌ प्रभावित	dnf upgrade के माध्यम से
Ubuntu 20.04–24.04	❌ प्रभावित	⚠ कर्नेल पर निर्भर	apt dist-upgrade के माध्यम से
Debian stable	❌ प्रभावित	⚠ कर्नेल पर निर्भर	फ़िक्स केवल sid में (linux ≥ 7.0.4-1)
SUSE / openSUSE	❌ प्रभावित	❌ प्रभावित	zypper update kernel-default के माध्यम से
Arch Linux	❌ प्रभावित	❌ प्रभावित	pacman -Syu linux के माध्यम से

---

उपयोग

git clone https://github.com/Quaerendir/dirtyfrag-audit
cd dirtyfrag-audit
chmod +x audit_dirtyfrag.sh
./audit_dirtyfrag.sh

रिमोट वन-लाइनर (प्रोड में चलाने से पहले सत्यापित करें):

curl -fsSL https://raw.githubusercontent.com/Quaerendir/dirtyfrag-audit/main/audit_dirtyfrag.sh | bash

एग्ज़िट कोड

कोड	अर्थ
0	सुरक्षित — दोनों में से कोई भी CVE लागू नहीं
1	असुरक्षित — कम से कम एक CVE सक्रिय है और कोई उपाय नहीं
2	शमित — वर्कअराउंड सक्रिय है, पैच अभी भी आवश्यक है

---

स्क्रिप्ट क्या जाँचती है

जाँच	CVE
कर्नेल संस्करण सीमा (ESP के लिए 4.14+, rxrpc के लिए 6.4+)	दोनों
डिस्ट्रो-विशिष्ट पैच किए गए कर्नेल संस्करण	दोनों
esp4 / esp6 मॉड्यूल लोड है (lsmod)	CVE-2026-43284
rxrpc मॉड्यूल लोड है (lsmod)	CVE-2026-43500
बिल्ट-इन बनाम लोड करने योग्य मॉड्यूल का पता लगाना	दोनों
modprobe.d ब्लैकलिस्ट नियम (प्रति-मॉड्यूल)	दोनों
IPsec XFRM स्थिति/नीति — सक्रिय सत्र जो टूट जाएँगे	CVE-2026-43284
kAFS / AFS मॉड्यूल उपयोग में है — सक्रिय rxrpc उपभोक्ता	CVE-2026-43500
KernelCare लाइव पैच स्थिति	दोनों
/proc/sys/vm/drop_caches की पहुँच	दोनों
कंटेनर / Docker / Kubernetes संदर्भ	दोनों
सक्रिय लॉग-इन उपयोगकर्ता (मल्टी-टेनेंट जोखिम)	दोनों
SELinux / AppArmor स्थिति	दोनों
IPsec/VTI/XFRM इंटरफ़ेस का पता लगाना	CVE-2026-43284

---

शमन

विकल्प A — कर्नेल अपडेट करें (निश्चित समाधान)

# RHEL / AlmaLinux
dnf clean metadata && dnf upgrade && reboot

# Ubuntu / Debian
apt-get update && apt-get dist-upgrade && reboot

# SUSE
zypper update kernel-default && reboot

# Arch
pacman -Syu linux && reboot

विकल्प B — ब्लैकलिस्ट मॉड्यूल + पेज कैश फ्लश करें

पहले, सक्रिय उपयोग की जाँच करें:

ip xfrm state          # IPsec — if output non-empty, blacklisting breaks IPsec
lsmod | grep kafs      # AFS — if loaded, rxrpc is in use

वर्कअराउंड लागू करें:

printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
  > /etc/modprobe.d/dirtyfrag.conf

rmmod esp4 esp6 rxrpc 2>/dev/null || true

# IMPORTANT: flush page cache to evict any poisoned pages
echo 3 > /proc/sys/vm/drop_caches

विकल्प C — लाइव पैच (रीबूट के बिना, KernelCare)

kcarectl --update
kcarectl --patch-info | grep -iE 'CVE-2026-43284|CVE-2026-43500|dirtyfrag'

ब्लैकलिस्टिंग किसे प्रभावित नहीं करती

dm-crypt / LUKS · WireGuard · OpenVPN · SSH · TLS/kTLS · OpenSSL · GnuTLS
IKE डेमॉन (strongSwan, libreswan) काम करना जारी रखते हैं — केवल इन-कर्नेल ESP पैकेट प्रोसेसिंग अक्षम है।

---

संबंधित

• copyfail-audit — CVE-2026-31431 (Copy Fail) के लिए ऑडिट स्क्रिप्ट

संदर्भ

• oss-security प्रकटीकरण — Hyunwoo Kim
• AlmaLinux घोषणा
• Tenable FAQ
• Sysdig विश्लेषण + Falco नियम
• TuxCare / KernelCare
• Wiz ब्लॉग
• The Hacker News
• Microsoft Security Blog (सक्रिय हमला)

---

लाइसेंस

MIT — देखें LICENSE

---

Quaerendir / Kostur IT SERVICES