🛡️ CVE-2026-46300 - Fragnesia

Un attacco pulito e letale alla cache delle pagine

Variante della famiglia "Dirty Frag"

📌 Panoramica

CVE-2026-46300 (Fragnesia) è un difetto logico di elevata gravità nella gestione dei buffer socket (skb_try_coalesce()) del kernel Linux, all'interno del sottosistema XFRM/ESP-in-TCP (espintcp ULP).

Un attaccante locale non privilegiato può ottenere scritture arbitrarie di byte nella cache delle pagine del kernel di qualsiasi file leggibile — inclusi binari di sistema come /usr/bin/su — portando a una scalata di privilegi a root affidabile.

✨ Punti salienti

• ✅ Nessuna condizione di gara necessaria
• ✅ Funziona puramente nella cache delle pagine (file su disco intatti)
• ✅ Utilizza splice() / sendfile() + decifratura AES-GCM controllata
• ✅ Proof-of-Concept pubblica disponibile
• ✅ Colpisce la maggior parte delle distribuzioni Linux

🛠 Demo

Causa principale: Propagazione impropria del marcatore SKBFL_SHARED_FRAG durante la coalescenza dei buffer socket, che permette a una decifratura controllata dall'attaccante di corrompere le pagine della cache delle pagine.

🎯 Impatto

🛡️ Mitigazione

1. Aggiornamento (Consigliato)

Aggiornare al kernel più recente con patch fornito dalla propria distribuzione.

2. Soluzione Immediata

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/fragnesia.conf"
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

3. Svuotamento cache pagine (se sospetto)

sudo sh -c 'echo 3 > /proc/sys/vm/drop_caches'

📥 Prova di concetto

Repository: v12-security/pocs - Fragnesia

⚠️ Solo a scopo educativo e difensivo.

📚 Riferimenti

• Blog sulla sicurezza di AlmaLinux
• Avviso di sicurezza Ubuntu
• Avviso di sicurezza Red Hat
• Discussione della patch sulla mailing list netdev Linux