DirtyFrag CVE-2026-43284 PoC 검증 및 auditd 탐지

범위: CVE-2026-43284와 관련된 XFRM/ESP 경로에 초점을 맞춘 Linux 로컬 권한 상승(LPE) 검증.

이 저장소에는 공개 DirtyFrag PoC에 대한 통제된 실험실 검증 결과인 영문 보고서와 증거 자료가 포함되어 있습니다. 초점은 악용 가이드를 제공하는 것이 아니라 Linux 감사 로그에서 무엇이 관찰되었는지, 그리고 그러한 이벤트를 실용적인 SOC 탐지 로직으로 어떻게 변환할 수 있는지 문서화하는 데 있습니다.

전체 PDF 보고서:

EN: reports/DirtyFrag_CVE-2026-43284_EN.pdf

PL: reports/DirtyFrag_CVE-2026-43284_PL.pdf

목적 및 범위

이 테스트는 취약한 실험실 VM에서 일반 로컬 사용자가 루트 셸을 획득할 수 있는지, 그리고 auditd로 어떤 이벤트를 캡처할 수 있는지 확인하기 위해 수행되었습니다.

CVE-2026-43284는 ESP/IPsec 작업 중 공유 페이지 조각에 대한 부적절한 처리와 관련이 있습니다. 특정 조건에서 로컬 공격자는 페이지 캐시의 데이터에 영향을 줄 수 있으며 권한을 상승시킬 수 있습니다. Ubuntu Security는 이 취약점을 CVSS 3.1: 7.8 High로 평가합니다.

기술 참고 자료:

• 공개 DirtyFrag PoC 저장소: https://github.com/V4bel/dirtyfrag
• Ubuntu Security - CVE-2026-43284: https://ubuntu.com/security/CVE-2026-43284
• Ubuntu 블로그 - Dirty Frag Linux 취약점 수정 제공: https://ubuntu.com/blog/dirty-frag-linux-vulnerability-fixes-available

테스트 환경

전체 시스템 기준 정보: evidence/logs/system-info-table.md

결과

PoC 실행 전, 테스트 컨텍스트는 일반 사용자 계정이었습니다. ./exp 실행 후 루트 셸이 획득되었으며 whoami와 id로 확인되었습니다.

증거 수집

테스트 후 auditd 로그와 요약 출력이 로컬 증거 디렉터리로 내보내진 후 이 저장소에 복사되었습니다.

저장소 구조

auditd 탐지 로직

가장 유용한 탐지는 단일 이벤트가 아닙니다. 가장 강력한 신호는 짧은 시간 창에서 관찰된 전체 체인입니다:

user namespace -> vmsplice/splice -> ESP/XFRM -> su -> root shell with AUID of a normal user

관련 auditd 키

재구성된 이벤트 체인

SIEM 상관 분석 예시

IF
  dirty_frag_unshare by auid>=1000
  AND count(dirty_frag_vmsplice + dirty_frag_splice by same exe or pid) >= 3 within 600s
  AND MAC_IPSEC_EVENT / XFRM activity within 1200s
  AND (dirty_frag_su_exec OR execve with euid=0 and auid>=1000) within 1200s
THEN
  alert = "Possible DirtyFrag CVE-2026-43284 Linux LPE"
  severity = high/critical

SOC 권장 사항

• 커널을 패치하고 업데이트 후 패치된 커널로 재부팅하도록 강제합니다.
• auditd, Falco, eBPF 기반 도구 또는 EDR로 시스템 콜 텔레메트리를 수집합니다.
• 단일 euid=0 이벤트만으로 알림을 발생시키지 마십시오. 이는 합법적인 sudo 사용도 포착합니다.
• 일반 사용자 세션의 unshare, vmsplice, splice, XFRM/ESP 활동, su 및 루트 프로세스 생성을 상호 연관시킵니다.
• 애플리케이션 호환성이 허용되는 경우 kernel.unprivileged_userns_clone 제한을 고려합니다.
• 특정 호스트 클래스에 ESP/IPsec 모듈이 필요한지 검토하고, 적절한 경우 불필요한 모듈 로드를 제한합니다.
• 로그를 원격 수집기 또는 SIEM으로 전달합니다. LPE 이후에는 로컬 로그가 공격자에 의해 수정될 수 있습니다.
• auditd 품질을 모니터링합니다: 테스트 및 프로덕션 모니터링 중 lost는 0을 유지해야 합니다.
• 호스트 격리, 감사 로그 수집, 실행 중인 커널 검증 및 로드된 모듈 캡처를 다루는 Linux LPE 분류(triage) 플레이북을 유지 관리합니다.

참고 사항

수집된 auditd 상태는 lost=2555를 보여주었으며, 이는 일부 감사 이벤트가 누락되었을 수 있음을 의미합니다. 핵심 체인은 여전히 확인할 수 있지만, 향후 테스트에서는 감사 백로그를 늘리고 PoC 실행 전에 lost=0을 확인해야 합니다.

이 보고서는 SOC 탐지 범위가 다른 DirtyFrag 관련 경로와 섞이지 않도록 의도적으로 CVE-2026-43284 / XFRM/ESP에 초점을 맞춥니다.