CVE-2026-43284 (Dirty Frag) – Ricerca sulla Vulnerabilità del Kernel Linux

---

Panoramica

Questo repository documenta un progetto completo di ricerca sulla sicurezza difensiva incentrato su CVE-2026-43284 (Dirty Frag), una vulnerabilità del kernel Linux che interessa il sottosistema di rete XFRM/IPsec.

L'obiettivo di questo progetto non è armare la vulnerabilità, ma comprendere come funziona, riprodurla in modo sicuro in un laboratorio controllato, analizzare il codice sorgente del kernel Linux, studiare la patch di sicurezza e sviluppare tecniche pratiche di rilevamento e risposta agli incidenti utilizzabili dai professionisti della sicurezza.

Il progetto combina ricerca sul kernel Linux, networking, operazioni SOC, Detection Engineering e Incident Response in un unico portfolio pratico.

---

Obiettivi del Progetto

Questo progetto è stato creato per:

• Comprendere il sottosistema di rete di Linux.
• Apprendere gli internals del kernel Linux.
• Studiare l'elaborazione dei pacchetti all'interno del kernel.
• Analizzare la causa principale di Dirty Frag.
• Confrontare il codice sorgente vulnerabile e quello corretto.
• Costruire un laboratorio di ricerca sicuro e riproducibile.
• Sviluppare regole di rilevamento utilizzando auditd, Splunk e Wazuh.
• Eseguire threat hunting.
• Praticare la risposta agli incidenti.
• Mappare i comportamenti degli attaccanti a MITRE ATT&CK.
• Produrre documentazione utile per VAPT, SOC, DFIR e amministratori Linux.

---

Informazioni su CVE-2026-43284

Dirty Frag è una vulnerabilità del kernel Linux situata all'interno del sottosistema di rete XFRM/IPsec.

Piuttosto che limitarsi a riprodurre una Proof of Concept (PoC), questo repository si concentra sulla comprensione di:

• Perché la vulnerabilità esiste.
• Quali componenti del kernel sono coinvolti.
• Come i pacchetti si muovono attraverso lo stack di rete.
• Perché la protezione Copy-on-Write ha fallito.
• Come gli sviluppatori Linux hanno corretto il problema.
• Come i difensori possono rilevare attività sospette.
• Come i responder agli incidenti dovrebbero investigare sui sistemi compromessi.

---

Competenze Dimostrate

Questo progetto dimostra esperienza pratica in:

• Amministrazione Linux
• Ricerca sul Kernel Linux
• Analisi del Codice Sorgente
• Git e Analisi delle Patch
• Networking
• IPsec / XFRM
• Docker
• Detection Engineering
• SIEM
• Splunk
• Wazuh
• auditd
• Threat Hunting
• Incident Response
• MITRE ATT&CK
• Documentazione Tecnica

---

Struttura del Repository

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

---

Percorso di Apprendimento

La documentazione è progettata per essere letta nel seguente ordine.

Fase 1 – Costruire il Laboratorio

Impara come preparare un ambiente di ricerca Linux utilizzando Docker e configurare un laboratorio riproducibile.

Gli argomenti includono:

• Preparazione dell'ambiente
• Docker
• Networking
• Sorgente del kernel
• Compilazione del kernel

---

Fase 2 – Ricerca

Studia il kernel Linux stesso.

Gli argomenti includono:

• Analisi della versione del kernel
• Albero dei sorgenti Linux
• Sottosistema XFRM
• sk_buff
• Copy-on-Write
• Analisi del codice sorgente
• Confronto delle patch

---

Fase 3 – Detection Engineering

Impara come i difensori rilevano attività sospette relative a Dirty Frag.

Gli argomenti includono:

• auditd
• Splunk
• Wazuh
• Linux Audit Framework
• Correlazione SIEM
• Regole di rilevamento
• Flussi di lavoro di investigazione

---

Fase 4 – Threat Hunting

Esegui ricerche proattive per indicatori di compromissione.

Gli argomenti includono:

• Correlazione dei log
• Esecuzione dei processi
• Attività dei moduli del kernel
• Eventi di autenticazione
• Integrità dei file
• Attività di rete

---

Ambiente di Laboratorio

La ricerca è stata eseguita in un ambiente di laboratorio isolato.

I componenti di esempio includono:

• Kali Linux (Workstation di Ricerca)
• Ubuntu Linux
• Docker
• Sorgente del Kernel Linux
• Git
• Python
• auditd
• Splunk
• Wazuh

Nessun sistema di produzione è stato utilizzato durante questa ricerca.

---

Strumenti Utilizzati

Categoria	Strumenti
Sistema Operativo	Kali Linux, Ubuntu
Virtualizzazione	Docker
Programmazione	Python
Ricerca sul Kernel	Git, GCC
Networking	iproute2, tcpdump, Wireshark
Rilevamento	auditd, Splunk, Wazuh
Threat Hunting	Splunk, Wazuh
Documentazione	Markdown, GitHub

---

Pubblico di Riferimento

Questo repository è destinato a:

• Analisti SOC
• Detection Engineers
• Threat Hunters
• Incident Responders
• Amministratori Linux
• Ricercatori di Sicurezza
• Ingegneri VAPT
• Studenti che studiano la sicurezza Linux

---

Cosa Questo Repository NON Copre

Questo progetto si concentra sulla ricerca sulla sicurezza difensiva.

Non fornisce:

• Guide offensive allo sfruttamento
• Payload dannosi
• Proof of Concept armate
• Istruzioni per attaccare sistemi di produzione

L'obiettivo è migliorare la comprensione della sicurezza del kernel Linux e rafforzare le capacità difensive.

---

Riferimenti

• Documentazione del Kernel Linux
• Documentazione Linux XFRM
• MITRE ATT&CK
• Advisory di Sicurezza dei Vendor
• Record Ufficiale CVE

---

Licenza

Questo progetto è rilasciato sotto la Licenza MIT.

---

Ringraziamenti

Grazie a:

• Sviluppatori del Kernel Linux
• Ricercatori di sicurezza che hanno divulgato responsabilmente la vulnerabilità
• Comunità open-source della sicurezza