DirtyFrag CVE-2026-43284 PoC 検証と auditd 検出

範囲: CVE-2026-43284 に関連する XFRM/ESP パスに焦点を当てた Linux ローカル権限昇格 (LPE) 検証。

このリポジトリには、公開されている DirtyFrag PoC の制御されたラボ検証からの英語レポートと証拠成果物が含まれています。ここでは、エクスプロイトガイドを提供することではなく、Linux 監査ログで何が可視であったか、およびそれらのイベントを実用的な SOC 検出ロジックに変換する方法を文書化することに焦点を当てています。

完全な PDF レポート:

EN: reports/DirtyFrag_CVE-2026-43284_EN.pdf

PL: reports/DirtyFrag_CVE-2026-43284_PL.pdf

目的と範囲

このテストは、脆弱なラボ VM で通常のローカルユーザーが root シェルを取得できるかどうかを検証し、auditd でキャプチャできるイベントを特定するために実施されました。

CVE-2026-43284 は、ESP/IPsec 操作中の共有ページフラグメントの不適切な処理に関連しています。特定の条件下では、ローカル攻撃者がページキャッシュ内のデータに影響を与え、権限を昇格させる可能性があります。Ubuntu Security はこの脆弱性を CVSS 3.1: 7.8 High と評価しています。

技術リファレンス:

• 公開 DirtyFrag PoC リポジトリ: https://github.com/V4bel/dirtyfrag
• Ubuntu Security - CVE-2026-43284: https://ubuntu.com/security/CVE-2026-43284
• Ubuntu ブログ - Dirty Frag Linux 脆弱性修正の提供: https://ubuntu.com/blog/dirty-frag-linux-vulnerability-fixes-available

テスト環境

完全なシステムベースライン: evidence/logs/system-info-table.md

結果

PoC 実行前、テストコンテキストは通常のユーザーアカウントでした。./exp を実行した後、root シェルが取得され、whoami と id で確認されました。

証拠収集

テスト後、auditd ログとサマリー出力がローカルの証拠ディレクトリにエクスポートされ、このリポジトリにコピーされました。

リポジトリ構造

auditd 検出ロジック

最も有用な検出は単一のイベントではありません。最も強力なシグナルは、短い時間枠内で観測された完全なチェーンです。

user namespace -> vmsplice/splice -> ESP/XFRM -> su -> 通常ユーザーのAUIDを持つrootシェル

関連する auditd キー

再構築されたイベントチェーン

SIEM 相関の例

IF
  dirty_frag_unshare by auid>=1000
  AND count(dirty_frag_vmsplice + dirty_frag_splice by same exe or pid) >= 3 within 600s
  AND MAC_IPSEC_EVENT / XFRM activity within 1200s
  AND (dirty_frag_su_exec OR execve with euid=0 and auid>=1000) within 1200s
THEN
  alert = "Possible DirtyFrag CVE-2026-43284 Linux LPE"
  severity = high/critical

SOC 推奨事項

• カーネルにパッチを適用し、更新後にパッチ適用済みカーネルへの再起動を強制します。
• auditd、Falco、eBPF ベースのツール、または EDR でシステムコールテレメトリを収集します。
• 単一の euid=0 イベントだけでアラートを発生させないでください。これには正当な sudo の使用も含まれます。
• unshare、vmsplice、splice、XFRM/ESP アクティビティ、su、および通常のユーザーセッションからのルートプロセス作成を相関させます。
• アプリケーションの互換性が許す場合は、kernel.unprivileged_userns_clone の制限を検討します。
• 特定のホストクラスで ESP/IPsec モジュールが必要かどうかを確認し、適切な場所で不要なモジュールのロードを制限します。
• リモートコレクターまたは SIEM にログを転送します。LPE 後、攻撃者がローカルログを変更する可能性があります。
• auditd の品質を監視します。テスト中および本番監視中は lost は 0 のままである必要があります。
• ホスト隔離、監査ログ収集、実行中のカーネル検証、ロード済みモジュールキャプチャをカバーする Linux LPE トリアージプレイブックを維持します。

注意事項

収集された auditd ステータスは lost=2555 を示しており、一部の監査イベントがドロップされた可能性があります。主要なチェーンは引き続き可視ですが、今後のテストでは監査バックログを増やし、PoC を実行する前に lost=0 を確認する必要があります。

レポートは意図的に CVE-2026-43284 / XFRM/ESP に焦点を当てており、他の DirtyFrag 関連パスと SOC 検出範囲を混同しないようにしています。