🔴 Fragnesia — CVE-2026-46300

Linux カーネルにおける特権昇格 · CVSS 7.8 · 2026年5月14日公開

注意喚起専用リポジトリです。 このリポジトリにはエクスプロイトコードは含まれていません。目的は、システム管理者、エンジニア、セキュリティチームに対して、脆弱性の性質と利用可能な対策について情報を提供することです。

📋 概要

🧬 背景と系統

Fragnesia は、2週間の間に Linux カーネルの IPsec サブシステムで発見された一連の脆弱性における 3番目 のものです。

Dirty Frag (CVE-2026-43284)  ──►  Copy Fail (CVE-2026-43500)  ──►  Fragnesia (CVE-2026-46300)
         2026年5月                        2026年5月                        2026年5月14日

皮肉なことに、Dirty Frag のパッチによって Fragnesia の脆弱性が潜在的に有効化されました — CVE-2026-43284 の修正により、2013年のコミット以来存在するバグを露出させるコードパスが導入されました。

"Fragnesia was accidentally activated by the patch fixing CVE-2026-43284."
— Hyunwoo Kim (Dirty Frag の発見者)

🔬 技術的分析

バグの原因

脆弱性はカーネルのソケットバッファコード内の skb_try_coalesce() 関数に存在します。バッファ間でフラグメントを結合する際に、SKBFL_SHARED_FRAG マーカーが伝播されず、カーネルがフラグメントがページキャッシュのページ（例：splice() 経由でメモリマッピングされたファイル）に裏付けられていることを追跡できなくなります。

悪用の連鎖

1. 攻撃者が TCP ソケットを開く
2. 攻撃者が read-only ファイル（例：/usr/bin/su）のページを受信キューに splice() する
3. ソケットが espintcp (ULP) モードに切り替わる
4. カーネルがファイルのページを ESP 暗号文として処理する
5. インプレースの AES-GCM 復号により、ページキャッシュに制御されたバイトが書き込まれる
6. メモリ上の /usr/bin/su が破損 → 次回呼び出し時にルートコードが実行される

注目すべき特徴

• ✅ 競合状態なし — 悪用は100%決定的
• ✅ ディスクへの変更なし — メモリ上のコピーのみが改変される (reboot で状態が復元される)
• ✅ user namespaces を利用 (デフォルトで有効) して、高い権限なしで CAP_NET_ADMIN を取得
• ✅ 攻撃者が読み取り可能な任意のファイル を標的にできる (su に限らない)
• ⚠️ 伝統的なディスクベースのツールでは 検出が困難

🎯 影響を受けるシステム

SKBFL_SHARED_FRAG メカニズムを含む 2026年5月13日より前に公開されたすべての Linux カーネル。

影響を受けるディストリビューションには以下が含まれます(抜粋)：

リスクの高い環境

• 🏢 マルチユーザーサーバー、ジャンプサーバー
• ☸️ Kubernetes ワーカーノード
• 🏗️ CI/CD ファーム、共有ビルドランナー
• ☁️ ユーザーコードを実行する SaaS クラウドプラットフォーム
• 🐳 コンテナクラスタ (ホスト上の共有ページキャッシュ)

🛡️ 対策

1. パッチ — 恒久的な解決策

修正済みカーネルにアップデート：

# Debian / Ubuntu
sudo apt-get update && sudo apt-get dist-upgrade -y
sudo reboot
uname -r  # 新しいカーネルバージョンを確認

# RHEL / AlmaLinux / Rocky Linux
sudo dnf clean metadata && sudo dnf upgrade -y
sudo reboot

# Arch Linux
sudo pacman -Syu
sudo reboot

2. 一時的な緩和策 — 脆弱なモジュールの無効化

即時のアップデートが不可能な場合：

# アクティブなモジュールをアンロード
sudo rmmod esp4 esp6 rxrpc 2>/dev/null; true

# モジュールを恒久的にブラックリスト化
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
  | sudo tee /etc/modprobe.d/fragnesia.conf

# initramfs を再生成 (Debian/Ubuntu)
sudo update-initramfs -u

⚠️ Dirty Frag で使用されたものと同じモジュールブラックリストが Fragnesia にも有効です。

3. システムの露出確認

# 脆弱なモジュールがロードされているか確認
lsmod | grep -E '^esp4|^esp6|^rxrpc'
# 出力があれば → システムは露出している

# 現在のカーネルバージョンを確認
uname -r
cat /etc/os-release

4. 追加対策 (コンテナ/クラウド環境)

• Seccomp を使用して AF_ALG ソケットの作成を禁止する
• 非特権ユーザー名前空間の作成をブロックする
• /etc/passwd, /etc/sudoers, /etc/shadow, /usr/bin/su への異常なアクセスを監視する
• 非特権ユーザーによる splice, add_key, unshare システムコールを制限する

5. ポストエクスプロイト — ページキャッシュのフラッシュ

パッチ適用前に悪用が疑われる場合：

sync; echo 3 | sudo tee /proc/sys/vm/drop_caches

⚠️ これはメモリ上のコピーのみをパージします。攻撃者がすでに root 権限を取得しバックドアを仕込んでいる場合、このコマンドでは不十分です — システムは完全に侵害されたものとして扱ってください。

🔍 検出

侵害指標 (IoC)

検出ツールは以下を監視する必要があります：

• /usr/bin/su, /usr/bin/sudo, /bin/bash のメモリ上での 異常なアクセスまたは変更
• 非特権ユーザーによる異常なシステムコール：splice(), add_key(), unshare()
• 想定されていないシステムでのネットワークユーザー名前空間の作成
• 非特権ユーザーソケットでの espintcp ネットワークアクティビティ

🔎 ディスク上のファイル分析のみに依存するセキュリティツールは、この悪用を検出できません。ディスク上のバイナリは無傷のままであるためです。

📚 公式リファレンス

• 🔗 Red Hat Advisory — CVE-2026-46300
• 🔗 Patch upstream netdev
• 🔗 AlmaLinux Blog — Fragnesia
• 🔗 Tenable FAQ — CVE-2026-46300
• 🔗 TuxCare — 技術分析
• 🔗 Help Net Security — 公開情報
• 🔗 NSFOCUS CERT Advisory
• 🔗 LinuxSecurity.com
• 🔗 SOC Prime Blog

⚖️ 法的・倫理的注意事項

このリポジトリは、専ら教育および防御目的で公開されています。エクスプロイトコード (PoC) は一切含まれていません。

このリポジトリの情報を悪意のある目的で使用したり、明示的な許可なく第三者のシステムに対して使用することは、違法であり倫理に反します。著者は、これらの情報の不正使用について一切の責任を負いません。

責任ある開示 — 脆弱性を発見した場合は、責任ある開示の慣行に従い、公開前に該当するセキュリティチームに連絡してください。

👤 著者

Maxime288 — github.com/Maxime288

セキュリティ情報リポジトリ — Linux クリティカル脆弱性の追跡