CVE-2026-46300-Fragnesia---TryHackMe-Lab-Project

Il progetto documenta il completamento e l'analisi del laboratorio TryHackME Fragnesia (CVE-2026-46300), che dimostra una vulnerabilità di corruzione della cache delle pagine del kernel Linux in grado di ottenere l'escalation dei privilegi locali attraverso la modifica delle pagine di file memorizzate nella cache senza alterare i file su disco.

Obiettivi del Laboratorio

. Comprendere la catena di vulnerabilità Fragnesia. . Analizzare le tecniche di corruzione della cache delle pagine Linux. . Osservare l'escalation dei privilegi da un utente non privilegiato al root dell'host. . Comprendere il ruolo di:

• skb_try_coalesce()
• SKBFL_SHARED_FRAG
• elaborazione di ricezione ESP-in-TCP
• decifratura in-place AES-GCM . Convalidare le procedure di mitigazione e pulizia.

Ambiente

Riepilogo della Vulnerabilità

Fragnesia è una vulnerabilità del kernel Linux che consente la modifica deterministica delle pagine dei file supportati dalla cache delle pagine attraverso il percorso di ricezione Esp-in-TCP.

La vulnerabilità ha origine da una gestione errata dei frammenti condivisi del socket buffer durante la coalescenza dei pacchetti, consentendo modifiche controllate di byte ai contenuti dei file nella cache.

Caratteristiche Principali

Flusso di Sfruttamento

Fase 1 - Corruzione della Cache delle Pagine

L'exploit è stato compilato ed eseguito da un account utente non privilegiato.

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

L'exploit ha modificato la copia in cache di:

/usr/bin/su

Senza alterare il file memorizzato su disco

Fase 2 - Root del Namespace

L'exploit ha creato un namespace utente e ha ottenuto UID 0 all'interno di quel namespace.

Verifica:

whoami
root

Tuttavia, i tentativi di accedere a risorse protette sono falliti:

 cat /root/flag.txt
 permision denied

Ciò ha dimostrato che il root del namespace non equivale al root dell'host.

Fase 3 - Escalation al Root dell'Host

Dopo aver abbandonato la shell del namespace:

exit
/usr/bin/su

La copia corrotta nella cache delle pagine di /usr/bin/su ha eseguito codice controllato dall'attaccante.

Verifica:

whoami
root

id
uid=0(root) gid=0(root)

Il processo ora possedeva privilegi di root genuini a livello di host.

Flag

THM{fragnesia_skb_coalesce_amnesia}

Verifica

Per verificare che l'exploit abbia interessato solo la memoria:

sha256sum /usr/bin/su

L'hash corrispondeva al binario originale, confermando che: . Il file su disco è rimasto invariato. . Solo la copia nella cache delle pagine è stata modificata.

Pulizia

Le voci corrotte nella cache delle pagine sono state rimosse utilizzando:

sudo sh -c 'echo 3 > /proc/sys/vm/ drop_caches'

Dopo la rimozione della cache, /usr/bin/su è tornato al comportamento normale e ha richiesto l'autenticazione.

Lezioni di Sicurezza Apprese

• Le patch del kernel possono introdurre nuove vulnerabilità all'interno dello stesso sottosistema.
• La corruzione della cache delle pagine rimane una potente tecnica di escalation dei privilegi.
• Il root del namespace e il root dell'host sono contesti di sicurezza fondamentalmente diversi.
• Il monitoraggio dell'integrità basato esclusivamente su hash del disco potrebbe non rilevare attacchi alla cache delle pagine.
• Le modifiche residenti in memoria possono bypassare i controlli tradizionali di integrità dei file.

Competenze Dimostrate

• Escalation dei Privilegi su Linux
• Analisi delle Vulnerabilità del Kernel
• Funzionamento Interno della Cache delle Pagine
• Namespace Utente
• Sicurezza dei Processi Linux
• Convalida degli Exploit
• Verifica delle Mitigazioni di Sicurezza
• Analisi degli Incidenti

Riferimenti

TryHackMe – Fragnesia (CVE-2026-46300) Documentazione del Kernel Linux Materiali di Ricerca su CVE-2026-46300

autore

Ejepu Benedict Amaechi Progetto completato e documentato come partt di formazione pratica sulla cybersecurity su TryHackMe.