v4bel/dirtyfrag리눅스 커널 권한 상승 익스플로잇으로, 두 개의 페이지 캐시 쓰기 취약점(CVE-2026-43284, CVE-2026-43500)을 연쇄적으로 활용하여 경쟁 조건 없이 주요 배포판에서 결정적인 루트 접근 권한을 획득합니다.
이 문서는 Hyunwoo Kim (@v4bel)이 처음 발견하고 보고한 Dirty Frag 취약점 클래스를 설명합니다. 이 취약점은 xfrm-ESP Page-Cache Write (CVE-2026-43284) 취약점과 RxRPC Page-Cache Write (CVE-2026-43500) 취약점을 연결하여 주요 리눅스 배포판에서 루트 권한을 획득할 수 있습니다.
Dirty Frag는 Dirty Pipe와 Copy Fail이 속한 버그 클래스를 확장한 사례입니다. 타이밍 윈도우에 의존하지 않는 결정적 로직 버그이므로 경쟁 조건(race condition)이 필요 없고, 익스플로잇이 실패해도 커널이 패닉하지 않으며 성공률이 매우 높습니다.
자세한 기술 정보와 타임라인은 여기를 참조하세요.
xfrm-ESP Page-Cache Write (CVE-2026-43284)는 메인라인 f4c50a4034e6에서 패치되었습니다.RxRPC Page-Cache Write (CVE-2026-43500)는 메인라인 aa54b1d27fe0에서 패치되었습니다.[!NOTE] 이 문서가 처음 공개된 시점(2026-05-07)에는 외부 요인으로 인해 엠바고가 이미 깨져 있었기 때문에 아직 패치나 CVE가 존재하지 않았습니다. 당시 [email protected]에서 메인테이너들과 협의한 후, 그들의 요청에 따라 Dirty Frag 문서가 게시되었습니다. 공개 타임라인은 기술 상세 문서를 참조하세요.
git clone https://github.com/V4bel/dirtyfrag.git && cd dirtyfrag && gcc -O0 -Wall -o exp exp.c -lutil && ./exp
이 PoC는 linux-distros와의 협의에 따라 정확한 정보로 제공됩니다. 테스트 권한이 없는 시스템에서는 사용하지 마세요.
⚠️ 중요: 이 익스플로잇을 실행한 후에는 페이지 캐시가 오염됩니다. 오염된 페이지 캐시를 정리하고 시스템 안정성을 보장하려면 다음 중 하나를 실행하세요:
echo 3 > /proc/sys/vm/drop_caches
또는 시스템을 재부팅하세요.
즉, 이 취약점들의 실질 유효 수명은 약 9년입니다.
이 Dirty Frag는 다음 배포판 버전에서 테스트되었습니다.
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"
xfrm-ESP Page-Cache Write는 Copy Fail과 같은 강력한 임의 4바이트 STORE 프리미티브를 제공하며 대부분의 배포판에 포함되어 있지만, 네임스페이스를 생성할 권한이 필요합니다.
Ubuntu는 때때로 AppArmor 정책을 통해 권한 없는 사용자 네임스페이스 생성을 차단합니다. 이러한 환경에서는 xfrm-ESP Page-Cache Write를 트리거할 수 없습니다. RxRPC Page-Cache Write는 네임스페이스를 생성할 권한이 필요하지 않지만, rxrpc.ko 모듈 자체는 대부분의 배포판에 포함되어 있지 않습니다. 그러나 Ubuntu에서는 rxrpc.ko 모듈이 기본적으로 로드됩니다.
두 변종을 체이닝하면 사각지대가 서로를 보완하여 모든 주요 배포판에서 루트 권한을 획득할 수 있습니다. 자세한 내용은 기술 상세 문서를 참조하세요.
네, 네, 알아요. 하지만 이 취약점은 "Dirty Pipe"의 후손이며, struct sk_buff의 frag 멤버를 "더럽히는(dirty)" 버그 클래스이므로 이 이름이 가장 적절합니다.
Copy Fail은 이 연구를 시작하게 된 동기였습니다. 특히 Dirty Frag 취약점 체인의 xfrm-ESP Page-Cache Write는 Copy Fail과 동일한 싱크(sink)를 공유합니다. 그러나 algif_aead 모듈 사용 가능 여부와 관계없이 트리거됩니다. 즉, 공개된 Copy Fail 완화 조치(algif_aead 블랙리스트)가 적용된 시스템에서도 여러분의 리눅스는 여전히 Dirty Frag에 취약합니다.
위의 완화(Mitigation) 섹션을 참조하세요.