🚨 CVE-2026-43503 — DirtyClone

共有メモリが安全に共有されなくなるとき。

不適切な伝播によって引き起こされるローカル権限昇格の脆弱性、 SKBFL_SHARED_FRAG フラグがLinuxネットワーキングスタック内で発生します。

📖 概要

CVE-2026-43503は、通称DirtyCloneと呼ばれる、Linuxカーネルネットワーキングサブシステムに影響を与える**高深刻度のローカル権限昇格（LPE）**脆弱性です。

この脆弱性は、いくつかのソケットバッファ（SKB）フラグメントコピールーチンが、パケットフラグメントのクローンまたは転送時に**SKBFL_SHARED_FRAG**フラグを保持できないために存在します。

その結果、**コピーオンライト（CoW）**セマンティクスによって保護されるべきメモリが予期せず書き込み可能になり、特定の条件下でローカル攻撃者が読み取り専用のページキャッシュデータを変更できる可能性があります。

⚡ "DirtyClone"の由来

DirtyCloneという名前は、2つの重要な特性を反映しています。

• Dirty → 共有ページキャッシュメモリが予期せず書き込み可能になる。
• Clone → SKBフラグメントのクローンまたは転送中にトリガーされる。

以前のLinuxメモリ破損脆弱性と同様に、この問題は従来のバッファオーバーフローではなく、共有メモリメタデータの不適切な処理に起因します。

🎯 影響

成功したエクスプロイトにより、攻撃者は以下を行う可能性があります。

• 🔺 権限をrootに昇格
• 🛠 root所有の読み取り専用ファイルを変更
• 💾 ページキャッシュバックアップメモリを破損
• ⚠ 期待されるコピーオンライト保護をバイパス
• 🔥 昇格した権限で任意のコードを実行（エクスプロイトチェーンに依存）

🧩 根本原因

いくつかのネットワーキングヘルパー関数は、以下のものをコピーせずにパケットフラグメントをクローンまたは移動します。

SKBFL_SHARED_FRAG

フラグ。

その結果、宛先ソケットバッファは実際には共有されているメモリに対して誤って所有権を主張します。

これにより、カーネルのページ所有権と書き込み保護に関する前提が崩れます。

🔬 影響を受ける関数

__pskb_copy_fclone()

skb_shift()

skb_gro_receive()

skb_gro_receive_list()

tcp_clone_payload()

skb_segment()

これらの各ルーチンは、共有フラグメント状態を保持せずにフラグメント参照を伝播する可能性があります。

💥 攻撃フロー

ローカルユーザー
     │
     ▼
巧妙に作成されたネットワーキングワークロードを作成
     │
     ▼
SKBフラグメントクローン
     │
     ▼
SKBFL_SHARED_FRAGの喪失
     │
     ▼
共有メモリがプライベートに見える
     │
     ▼
読み取り専用ページキャッシュへの書き込み
     │
     ▼
権限昇格

📸 デモ

📊 脆弱性詳細

🖥 影響を受けるコンポーネント

Linux Kernel

Subsystem:
net/skbuff

✅ 修正済みカーネルバージョン

🛡 緩和策

• パッチ適用済みのLinuxカーネルにアップグレードする。
• 信頼できないユーザーのローカルシェルアクセスを制限する。
• 最新のベンダーセキュリティアップデートを適用する。
• 権限昇格の試みを監視する。
• 最小権限の原則に従う。

🔍 検出

兆候には以下が含まれます：

• 読み取り専用ファイルの予期しない変更
• 異常なページキャッシュ動作
• ローカル権限昇格の試み
• ネットワーキングメモリ管理に関連するカーネル警告

📚 技術概要

🧠 重要なポイント

DirtyCloneはネットワークリモートエクスプロイトではありません—共有ソケットバッファフラグメントの不適切な処理によって引き起こされるローカル権限昇格の脆弱性です。SKBFL_SHARED_FRAGフラグが失われると、保護されるべきメモリへの書き込みが可能になり、Linuxのコピーオンライト保証を弱体化させ、適切な条件下で権限昇格を可能にします。