CVE-2026-46300-Fragnesia---TryHackMeラボプロジェクト

このプロジェクトは、Fragnesia (CVE-2026-46300) TryHackMEラボの完了と分析を文書化したものです。このラボは、ディスク上のファイルを変更せずにキャッシュされたファイルページを改変することでローカル権限昇格を達成できる、Linuxカーネルのページキャッシュ破壊脆弱性を示しています。

ラボの目的

. Fragnesia脆弱性チェーンを理解する。 . Linuxページキャッシュ破壊技術を分析する。 . 非特権ユーザーからホストrootへの権限昇格を観察する。 . 以下の役割を理解する：

• skb_try_coalesce()
• SKBFL_SHARED_FRAG
• ESP-in-TCP受信処理
• AES-GCM in-place復号 . 緩和策とクリーンアップ手順を検証する。

環境

脆弱性の概要

Fragnesiaは、ESP-in-TCP受信パスを通じてページキャッシュにバックアップされたファイルページの決定論的な改変を可能にするLinuxカーネルの脆弱性です。この脆弱性は、パケット結合時の共有ソケットバッファフラグメントの不適切な処理に起因し、キャッシュされたファイルコンテンツへの制御されたバイト改変を可能にします。

主要な特性

エクスプロイトの流れ

ステージ1 - ページキャッシュ破壊

エクスプロイトは非特権ユーザーアカウントからコンパイルおよび実行されました。

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

エクスプロイトは以下のキャッシュコピーを改変しました：

/usr/bin/su

ディスクに保存されたファイルは変更せずに。

ステージ2 - 名前空間root

エクスプロイトはユーザー名前空間を作成し、その名前空間内でUID 0を取得しました。

検証：

 whoami
 root

しかし、保護されたリソースへのアクセス試行は失敗しました：

 cat /root/flag.txt
 permision denied

これは、名前空間rootがホストrootと同等ではないことを示しました。

ステージ3 - ホストrootへの昇格

名前空間シェルを終了した後：

exit
/usr/bin/su

破損した/usr/bin/suのページキャッシュコピーが攻撃者制御のコードを実行しました。

検証：

whoami
root

id
uid=0(root) gid=0(root)

プロセスは今や真のホストレベルのroot権限を保持していました。

フラグ

THM{fragnesia_skb_coalesce_amnesia}

検証

エクスプロイトがメモリのみに影響を与えたことを検証するために：

sha256sum /usr/bin/su

ハッシュは元のバイナリと一致し、以下を確認しました： . ディスクファイルは変更されていません。 . ページキャッシュコピーのみが改変されました。

クリーンアップ

破損したページキャッシュエントリは以下を使用して削除されました：

sudo sh -c 'echo 3 > /proc/sys/vm/ drop_caches'

キャッシュが追い出された後、/usr/bin/suは正常な動作に戻り、認証が必要になりました。

セキュリティの教訓

• カーネルパッチは同じサブシステム内に新しい脆弱性を導入する可能性があります。
• ページキャッシュ破壊は依然として強力な権限昇格手法です。
• 名前空間rootとホストrootは根本的に異なるセキュリティコンテキストです。
• ディスクハッシュのみに基づく整合性監視は、ページキャッシュ攻撃を検出できない可能性があります。
• メモリ常駐の改変は従来のファイル整合性制御をバイパスする可能性があります。

実証されたスキル

• Linux権限昇格
• カーネル脆弱性分析
• ページキャッシュ内部構造
• ユーザー名前空間
• Linuxプロセスセキュリティ
• エクスプロイト検証
• セキュリティ緩和策の検証
• インシデント分析

参考文献

TryHackMe – Fragnesia (CVE-2026-46300) Linuxカーネルドキュメント CVE-2026-46300研究資料

著者

Ejepu Benedict Amaechi プロジェクトは以下の一環として完了し文書化されました： TryHackMeでの実践的なサイバーセキュリティトレーニング。