Análise Técnica Aprofundada do Dirty Frag

CVE-2026-43284 (xfrm-ESP) / CVE-2026-43500 (RxRPC)

Vulnerabilidade de escalonamento de privilégios no kernel Linux — Reversão do PoC · Análise de Shellcode · Princípio do Patch · Script de Detecção

Visão Geral da Vulnerabilidade

O Dirty Frag explora, de forma encadeada, duas vulnerabilidades independentes — xfrm-ESP Page-Cache Write e RxRPC Page-Cache Write — para escalar privilégios de um usuário local comum para root em praticamente todas as principais distribuições Linux.

• Vulnerabilidade lógica determinística, sem condição de corrida, 100% de taxa de sucesso
• Contorna completamente a mitigação Copy Fail
• Escopo de impacto: quase todos os kernels Linux desde 2017

Descrição dos Arquivos

Detecção Rápida

# Detecção rápida com um único comando
lsmod | grep -qE "esp4|rxrpc" && echo "[!] Em risco" || echo "[+] Seguro"

# Ou use o script de detecção completo
bash dirtyfrag-check.sh

Correção Temporária

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches"

⚠️ Antes de aplicar a correção, confirme que o sistema não utiliza VPN IPsec / SD-WAN / criptografia IPsec entre pods do K8s

Validação Prática

OS:      Ubuntu 22.04.5 LTS
Kernel:  5.15.0-171-generic
User:    ubuntu (uid=1000) → root (uid=0)
Variant: xfrm-ESP Page-Cache Write
Time:    ~8 segundos

Agradecimentos

• Descobridor da vulnerabilidade: Hyunwoo Kim (@v4bel)
• Repositório oficial do Dirty Frag

Aviso Legal

Este artigo destina-se exclusivamente a pesquisa de segurança e intercâmbio de aprendizado. Não o utilize para testes não autorizados em sistemas.

Autor: Bomb

WeChat: AK7777177 (intercâmbio de pesquisa em segurança, colaboração em análise de vulnerabilidades)

Histórico de Estrelas