Dirty Frag / CVE-2026-43284 — 研究ノート

概要

このリポジトリは、Dirty Frag として広く知られ、xfrm-ESP パスでは CVE-2026-43284 として追跡されている Linux カーネルの脆弱性に関する、整理された技術図と補足ノートを含んでいます。

この問題は、Hyunwoo Kim (@v4bel) によって発見された、より広範な Dirty Frag クラスに属します。関連する RxRPC の亜種は CVE-2026-43500 として別途追跡されています。

この資料の目的は次のとおりです。

• システムレベルでバグのメカニズムを説明すること;
• XFRM ESP、UDP カプセル化、splice()、skb フラグメント、ファイルバックドページ、ページキャッシュ破損の関係を文書化すること;
• レポート、ケーススタディ、防御ブリーフィング用の公開可能な図を提供すること。

このリポジトリは 攻撃の手引きではありません。

実際的には、このリポジトリは元の公開された Dirty Frag ESP の概念実証を、より検査しやすい形式に拡張し文書化しています。含まれる資料は 64 ビット Linux システム専用 です。

---

動作の仕組み

高レベルでは、この問題は xfrm ESP 受信パスにおける 誤ったインプレース処理 に起因します。

その連鎖は次のようになります。

1. ローカルの非特権プロセスが unshare(CLONE_NEWUSER | CLONE_NEWNET) を使用して新しいユーザ名前空間とネットワーク名前空間に入る;
2. XFRM Security Association が Netlink ソケットを介してインストールされる;
3. 各 Security Association は、拡張シーケンス番号状態に小さな 192 バイトの ELF ペイロードの 4 バイトを格納する;
4. /usr/bin/su からの読み取り専用ページが と を通じて UDP パケットパスに移動される;