CVE-2026-46300-Fragnesia---TryHackMe-Projeto de Laboratório

O projeto documenta a conclusão e análise do laboratório Fragnesia (CVE-2026-46300) do TryHackMe, que demonstra uma vulnerabilidade de corrupção de cache de páginas do kernel Linux capaz de alcançar escalada de privilégio local através da modificação de páginas de arquivos em cache sem alterar arquivos no disco.

Objetivos do Laboratório

. Compreender a cadeia de vulnerabilidade Fragnesia. . Analisar técnicas de corrupção de cache de páginas do Linux. . Observar a escalada de privilégio de um usuário não privilegiado para root do host. . Compreender o papel de:

• skb_try_coalesce()
• SKBFL_SHARED_FRAG
• ESP-in-TCP recieve processing
• AES-GCM in-place decryption . Validar procedimentos de mitigação e limpeza.

Ambiente

Resumo da Vulnerabilidade

Fragnesia é uma vulnerabilidade do kernel Linux que permite a modificação determinística de páginas de arquivos suportadas por cache de páginas através do caminho de recebimento Esp-in-TCP.

A vulnerabilidade se origina do tratamento incorreto de fragmentos compartilhados de buffer de socket durante a coalescência de pacotes, permitindo modificações controladas de bytes nos conteúdos de arquivos em cache.

Principais Características

Fluxo de Exploração

stage 1 - page cache Corruption

O exploit foi compilado e executado a partir de uma conta de usuário não privilegiado.

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

O exploit modificou a cópia em cache de:

/usr/bin/su

Sem alterar o arquivo armazenado em disco

Stage 2 - Namespace Root

O exploit criou um namespace de usuário e obteve UID 0 dentro desse namespace.

Verification:

 whoami
 root

No entanto, as tentativas de acessar recursos protegidos falharam:

 cat /root/flag.txt
 permision denied

Isso demonstrou que o root do namespace não equivale ao root do host.

Stage 3 - Host Root Escalation

Após sair do shell do namespace:

exit
/usr/bin/su

A cópia corrompida na cache de páginas do /usr/bin/su executou código controlado pelo atacante.

Verification:

whoami
root

id
uid=0(root) gid=0(root)

O processo agora possuía privilégios genuínos de root nível host.

Flag

THM{fragnesia_skb_coalesce_amnesia}

Verification

Para verificar que o exploit afetou apenas a memória:

sha256sum /usr/bin/su

O hash correspondeu ao binário original, confirmando que: . O arquivo em disco permaneceu inalterado. . Apenas a cópia na cache de páginas foi modificada.

Cleanup

As entradas corrompidas da cache de páginas foram removidas usando:

sudo sh -c 'echo 3 > /proc/sys/vm/ drop_caches'

Após a remoção da cache, o /usr/bin/su retornou ao comportamento normal e exigiu autenticação.

Lições de Segurança Aprendidas

• Patches do kernel podem introduzir novas vulnerabilidades no mesmo subsistema.
• A corrupção da cache de páginas continua sendo uma técnica poderosa de escalada de privilégio.
• Root de namespace e root de host são contextos de segurança fundamentalmente diferentes.
• O monitoramento de integridade baseado apenas em hashes de disco pode falhar em detectar ataques à cache de páginas.
• Modificações residentes em memória podem contornar controles tradicionais de integridade de arquivos.

Habilidades Demonstradas

• Escalada de Privilégio no Linux
• Análise de Vulnerabilidade do Kernel
• Internals da Cache de Páginas
• Namespaces de Usuário
• Segurança de Processos no Linux
• Validação de Exploit
• Verificação de Mitigação de Segurança
• Análise de Incidentes

Referências

TryHackMe – Fragnesia (CVE-2026-46300) Documentação do Kernel Linux Materiais de Pesquisa CVE-2026-46300

autor

Ejepu Benedict Amaechi Projeto concluído e documentado como parte de treinamento prático de segurança cibernética no TryHackMe.