CVE-2026-43284 (Dirty Frag) – Linuxカーネル脆弱性リサーチ

概要

このリポジトリは、XFRM/IPsecネットワーキングサブシステムに影響を与えるLinuxカーネル脆弱性であるCVE-2026-43284 (Dirty Frag) に焦点を当てた、完全な防御的セキュリティリサーチプロジェクトを文書化したものです。

このプロジェクトの目的は、脆弱性を武器化することではなく、その仕組みを理解し、管理された実験室で安全に再現し、Linuxカーネルのソースコードを分析し、セキュリティパッチを研究し、セキュリティ専門家が使用できる実践的な検出およびインシデント対応技術を構築することです。

このプロジェクトは、Linuxカーネルリサーチ、ネットワーキング、SOC運用、Detection Engineering、およびインシデントレスポンスを単一の実用的なポートフォリオに統合しています。

プロジェクトの目的

このプロジェクトは以下の目的で作成されました:

• Linuxネットワーキングサブシステムを理解する。
• Linuxカーネルの内部構造を学ぶ。
• カーネル内のパケット処理を研究する。
• Dirty Fragの根本原因を分析する。
• 脆弱なソースコードとパッチ適用済みソースコードを比較する。
• 安全で再現可能なリサーチ実験室を構築する。
• auditd、Splunk、Wazuhを使用した検出ルールを開発する。
• 脅威ハンティングを実行する。
• インシデントレスポンスを実践する。
• 攻撃者の行動をMITRE ATT&CKにマッピングする。
• VAPT、SOC、DFIR、Linux管理者に役立つドキュメントを作成する。

CVE-2026-43284について

Dirty Fragは、XFRM/IPsecネットワーキングサブシステム内に存在するLinuxカーネル脆弱性です。

Proof of Concept (PoC) を単に再現するのではなく、このリポジトリは以下を理解することに焦点を当てています:

• なぜ脆弱性が存在するのか。
• どのカーネルコンポーネントが関与しているのか。
• パケットがネットワーキングスタックをどのように移動するのか。
• なぜCopy-on-Write保護が失敗したのか。
• Linux開発者がどのように問題を修正したのか。
• 防御側が不審な活動をどのように検出できるのか。
• インシデントレスポンダーが影響を受けたシステムをどのように調査すべきか。

実証されたスキル

このプロジェクトは、以下の分野における実践的な経験を示しています:

• Linux管理
• Linuxカーネルリサーチ
• ソースコード分析
• Gitおよびパッチ分析
• ネットワーキング
• IPsec / XFRM
• Docker
• Detection Engineering
• SIEM
• Splunk
• Wazuh
• auditd
• 脅威ハンティング
• インシデントレスポンス
• MITRE ATT&CK
• 技術文書作成

リポジトリ構造

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

学習ロードマップ

ドキュメントは以下の順序で読むように設計されています。

フェーズ1 – 実験室の構築

Dockerを使用してLinuxリサーチ環境を準備し、再現可能な実験室を構成する方法を学びます。

トピックには以下が含まれます:

• 環境準備
• Docker
• ネットワーキング
• カーネルソース
• カーネルコンパイル

フェーズ2 – リサーチ

Linuxカーネル自体を研究します。

トピックには以下が含まれます:

• カーネルバージョン分析
• Linuxソースツリー
• XFRMサブシステム
• sk_buff
• Copy-on-Write
• ソースコード分析
• パッチ比較

フェーズ3 – Detection Engineering

防御側がDirty Fragを取り巻く不審な活動をどのように検出するかを学びます。

トピックには以下が含まれます:

• auditd
• Splunk
• Wazuh
• Linux監査フレームワーク
• SIEM相関
• 検出ルール
• 調査ワークフロー

フェーズ4 – 脅威ハンティング

侵害の指標を積極的に検索します。

トピックには以下が含まれます:

• ログ相関
• プロセス実行
• カーネルモジュールアクティビティ
• 認証イベント
• ファイル整合性
• ネットワークアクティビティ

実験室環境

リサーチは隔離された実験室環境で実施されました。

コンポーネントの例には以下が含まれます:

• Kali Linux (リサーチワークステーション)
• Ubuntu Linux
• Docker
• Linuxカーネルソース
• Git
• Python
• auditd
• Splunk
• Wazuh

このリサーチ中に本番システムは使用されていません。

使用ツール

対象読者

このリポジトリは以下を対象としています:

• SOCアナリスト
• Detection Engineer
• 脅威ハンター
• インシデントレスポンダー
• Linux管理者
• セキュリティリサーチャー
• VAPTエンジニア
• Linuxセキュリティを学ぶ学生

このリポジトリがカバーしない内容

このプロジェクトは防御的セキュリティリサーチに焦点を当てています。

以下は提供しません:

• 攻撃的な悪用ガイド
• 悪意のあるペイロード
• 武器化されたProof of Concept
• 本番システムへの攻撃手順

目的は、Linuxカーネルセキュリティの理解を深め、防御能力を強化することです。

参考文献

• Linuxカーネルドキュメント
• Linux XFRMドキュメント
• MITRE ATT&CK
• ベンダーセキュリティアドバイザリ
• 公式CVEレコード

ライセンス

このプロジェクトはMITライセンスの下で公開されています。

謝辞

以下に感謝します:

• Linuxカーネル開発者
• 脆弱性を責任を持って開示したセキュリティリサーチャー
• オープンソースセキュリティコミュニティ