CVE-2026-46300-Fragnesia---TryHackMe-랩-프로젝트

이 프로젝트는 Fragnesia (CVE-2026-46300) TryHackME 랩의 완료 및 분석을 문서화합니다. 이 랩은 디스크의 파일을 변경하지 않고 캐시된 파일 페이지를 수정하여 로컬 권한 상승을 달성할 수 있는 Linux 커널 페이지 캐시 손상 취약점을 시연합니다.

랩 목표

. Fragnesia 취약점 체인 이해. . Linux 페이지 캐시 손상 기술 분석. . 권한 없는 사용자에서 호스트 루트로의 권한 상승 관찰 . 다음 요소의 역할 이해:

• skb_try_coalesce()
• SKBFL_SHARED_FRAG
• ESP-in-TCP recieve processing
• AES-GCM in-place decryption . 완화 및 정리 절차 검증.

환경

취약점 요약

Fragnesia는 ESP-in-TCP 수신 경로를 통해 페이지 캐시 백업 파일 페이지의 결정론적 수정을 가능하게 하는 Linux 커널 취약점입니다.

이 취약점은 패킷 병합 중 공유 소켓 버퍼 조각의 잘못된 처리로 인해 발생하며, 캐시된 파일 내용에 제어된 바이트 수정을 허용합니다.

주요 특징

익스플로잇 흐름

단계 1 - 페이지 캐시 손상

익스플로잇은 권한 없는 사용자 계정에서 컴파일 및 실행되었습니다.

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

익스플로잇은 다음 파일의 캐시된 복사본을 수정했습니다:

/usr/bin/su

디스크에 저장된 파일을 변경하지 않고

단계 2 - 네임스페이스 루트

익스플로잇은 사용자 네임스페이스를 생성하고 해당 네임스페이스 내에서 UID 0을 획득했습니다.

확인:

 whoami
 root

그러나 보호된 리소스에 접근하려는 시도는 실패했습니다:

 cat /root/flag.txt
 permision denied

이는 네임스페이스 루트가 호스트 루트와 동일하지 않음을 보여주었습니다.

단계 3 - 호스트 루트 권한 상승

네임스페이스 셸을 종료한 후:

exit
/usr/bin/su

손상된 /usr/bin/su의 페이지 캐시 복사본이 공격자가 제어하는 코드를 실행했습니다.

확인:

whoami
root

id
uid=0(root) gid=0(root)

이제 프로세스는 진정한 호스트 수준의 루트 권한을 보유했습니다.

플래그

THM{fragnesia_skb_coalesce_amnesia}

검증

익스플로잇이 메모리에만 영향을 미쳤는지 확인하려면:

sha256sum /usr/bin/su

해시가 원본 바이너리와 일치하여 다음을 확인했습니다: . 디스크 파일은 변경되지 않았습니다. . 페이지 캐시 복사본만 수정되었습니다.

정리

손상된 페이지 캐시 항목은 다음을 사용하여 제거되었습니다:

sudo sh -c 'echo 3 > /proc/sys/vm/ drop_caches'

캐시 제거 후 /usr/bin/su는 정상 동작으로 돌아왔으며 인증이 필요했습니다.

보안 교훈

• 커널 패치는 동일한 서브시스템 내에서 새로운 취약점을 도입할 수 있습니다.
• 페이지 캐시 손상은 여전히 강력한 권한 상승 기술입니다.
• 네임스페이스 루트와 호스트 루트는 근본적으로 다른 보안 컨텍스트입니다.
• 디스크 해시에만 기반한 무결성 모니터링은 페이지 캐시 공격을 탐지하지 못할 수 있습니다.
• 메모리 상주 수정은 전통적인 파일 무결성 제어를 우회할 수 있습니다.

시연된 기술

• Linux 권한 상승
• 커널 취약점 분석
• 페이지 캐시 내부
• 사용자 네임스페이스
• Linux 프로세스 보안
• 익스플로잇 검증
• 보안 완화 검증
• 사고 분석

참고 자료

TryHackMe – Fragnesia (CVE-2026-46300) Linux 커널 문서 CVE-2026-46300 연구 자료

저자

Ejepu Benedict Amaechi 프로젝트는 다음의 일환으로 완료 및 문서화되었습니다 hands-on cybersecurity training on TryHackMe.