CVE-2026-43284 (Dirty Frag) – Ricerca sulla Vulnerabilità del Kernel Linux

Panoramica

Questo repository documenta un progetto completo di ricerca sulla sicurezza difensiva incentrato su CVE-2026-43284 (Dirty Frag), una vulnerabilità del kernel Linux che interessa il sottosistema di rete XFRM/IPsec.

L'obiettivo di questo progetto non è armare la vulnerabilità, ma comprendere come funziona, riprodurla in modo sicuro in un laboratorio controllato, analizzare il codice sorgente del kernel Linux, studiare la patch di sicurezza e sviluppare tecniche pratiche di rilevamento e risposta agli incidenti utilizzabili dai professionisti della sicurezza.

Il progetto combina ricerca sul kernel Linux, networking, operazioni SOC, Detection Engineering e Incident Response in un unico portfolio pratico.

Obiettivi del Progetto

Questo progetto è stato creato per:

• Comprendere il sottosistema di rete di Linux.
• Apprendere gli internals del kernel Linux.
• Studiare l'elaborazione dei pacchetti all'interno del kernel.
• Analizzare la causa principale di Dirty Frag.
• Confrontare il codice sorgente vulnerabile e quello corretto.
• Costruire un laboratorio di ricerca sicuro e riproducibile.
• Sviluppare regole di rilevamento utilizzando auditd, Splunk e Wazuh.
• Eseguire threat hunting.
• Praticare la risposta agli incidenti.
• Mappare i comportamenti degli attaccanti a MITRE ATT&CK.
• Produrre documentazione utile per VAPT, SOC, DFIR e amministratori Linux.

Informazioni su CVE-2026-43284

Dirty Frag è una vulnerabilità del kernel Linux situata all'interno del sottosistema di rete XFRM/IPsec.

Piuttosto che limitarsi a riprodurre una Proof of Concept (PoC), questo repository si concentra sulla comprensione di:

• Perché la vulnerabilità esiste.
• Quali componenti del kernel sono coinvolti.
• Come i pacchetti si muovono attraverso lo stack di rete.
• Perché la protezione Copy-on-Write ha fallito.
• Come gli sviluppatori Linux hanno corretto il problema.
• Come i difensori possono rilevare attività sospette.
• Come i responder agli incidenti dovrebbero investigare sui sistemi compromessi.

Competenze Dimostrate

Questo progetto dimostra esperienza pratica in:

• Amministrazione Linux
• Ricerca sul Kernel Linux
• Analisi del Codice Sorgente
• Git e Analisi delle Patch
• Networking
• IPsec / XFRM
• Docker
• Detection Engineering
• SIEM
• Splunk
• Wazuh
• auditd
• Threat Hunting
• Incident Response
• MITRE ATT&CK
• Documentazione Tecnica

Struttura del Repository

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

Percorso di Apprendimento

La documentazione è progettata per essere letta nel seguente ordine.

Fase 1 – Costruire il Laboratorio

Impara come preparare un ambiente di ricerca Linux utilizzando Docker e configurare un laboratorio riproducibile.

Gli argomenti includono:

• Preparazione dell'ambiente
• Docker
• Networking
• Sorgente del kernel
• Compilazione del kernel

Fase 2 – Ricerca

Studia il kernel Linux stesso.

Gli argomenti includono:

• Analisi della versione del kernel
• Albero dei sorgenti Linux
• Sottosistema XFRM
• sk_buff
• Copy-on-Write
• Analisi del codice sorgente
• Confronto delle patch

Fase 3 – Detection Engineering

Impara come i difensori rilevano attività sospette relative a Dirty Frag.

Gli argomenti includono:

• auditd
• Splunk
• Wazuh
• Linux Audit Framework
• Correlazione SIEM
• Regole di rilevamento
• Flussi di lavoro di investigazione

Fase 4 – Threat Hunting

Esegui ricerche proattive per indicatori di compromissione.

Gli argomenti includono:

• Correlazione dei log
• Esecuzione dei processi
• Attività dei moduli del kernel
• Eventi di autenticazione
• Integrità dei file
• Attività di rete

Ambiente di Laboratorio

La ricerca è stata eseguita in un ambiente di laboratorio isolato.

I componenti di esempio includono:

• Kali Linux (Workstation di Ricerca)
• Ubuntu Linux
• Docker
• Sorgente del Kernel Linux
• Git
• Python
• auditd
• Splunk
• Wazuh

Nessun sistema di produzione è stato utilizzato durante questa ricerca.

Strumenti Utilizzati

Pubblico di Riferimento

Questo repository è destinato a:

• Analisti SOC
• Detection Engineers
• Threat Hunters
• Incident Responders
• Amministratori Linux
• Ricercatori di Sicurezza
• Ingegneri VAPT
• Studenti che studiano la sicurezza Linux

Cosa Questo Repository NON Copre

Questo progetto si concentra sulla ricerca sulla sicurezza difensiva.

Non fornisce:

• Guide offensive allo sfruttamento
• Payload dannosi
• Proof of Concept armate
• Istruzioni per attaccare sistemi di produzione

L'obiettivo è migliorare la comprensione della sicurezza del kernel Linux e rafforzare le capacità difensive.

Riferimenti

• Documentazione del Kernel Linux
• Documentazione Linux XFRM
• MITRE ATT&CK
• Advisory di Sicurezza dei Vendor
• Record Ufficiale CVE

Licenza

Questo progetto è rilasciato sotto la Licenza MIT.

Ringraziamenti

Grazie a:

• Sviluppatori del Kernel Linux
• Ricercatori di sicurezza che hanno divulgato responsabilmente la vulnerabilità
• Comunità open-source della sicurezza