DirtyFrag CVE-2026-43284 Validação do PoC e Detecção com auditd

Escopo: Validação de Escalação Local de Privilégios (LPE) no Linux focada no caminho XFRM/ESP associado à CVE-2026-43284.

Este repositório contém um relatório em inglês e artefatos de evidência de uma validação controlada em laboratório do PoC público DirtyFrag. O foco não é fornecer um guia de exploração, mas sim documentar o que era visível nos logs de auditoria do Linux e como esses eventos podem ser transformados em lógica prática de detecção para SOC.

Relatório PDF completo:

EN: reports/DirtyFrag_CVE-2026-43284_EN.pdf

PL: reports/DirtyFrag_CVE-2026-43284_PL.pdf

Propósito e escopo

O teste foi realizado para verificar se um usuário local normal poderia obter um shell root em uma VM de laboratório vulnerável e para determinar quais eventos podem ser capturados com auditd.

A CVE-2026-43284 está relacionada ao manuseio inadequado de fragmentos de página compartilhados durante operações ESP/IPsec. Sob condições específicas, um atacante local pode influenciar dados no cache de páginas e escalar privilégios. A Ubuntu Security classifica essa vulnerabilidade como CVSS 3.1: 7.8 Alta.

Referências técnicas:

• Repositório público do PoC DirtyFrag: https://github.com/V4bel/dirtyfrag
• Ubuntu Security - CVE-2026-43284: https://ubuntu.com/security/CVE-2026-43284
• Blog da Ubuntu - Correções disponíveis para a vulnerabilidade Dirty Frag no Linux: https://ubuntu.com/blog/dirty-frag-linux-vulnerability-fixes-available

Ambiente de teste

Linha de base completa do sistema: evidence/logs/system-info-table.md

Resultado

Antes da execução do PoC, o contexto de teste era uma conta de usuário normal. Após executar ./exp, um shell root foi obtido e confirmado com whoami e id.

Coleta de evidências

Após o teste, os logs do auditd e saídas resumidas foram exportados para um diretório de evidências local e copiados para este repositório.

Estrutura do repositório

Lógica de detecção do auditd

A detecção mais útil não é um único evento. O sinal mais forte é a cadeia completa observada em uma janela de tempo curta:

user namespace -> vmsplice/splice -> ESP/XFRM -> su -> root shell with AUID of a normal user

Chaves auditd relevantes

Cadeia de eventos reconstruída

Exemplo de correlação SIEM

IF
  dirty_frag_unshare by auid>=1000
  AND count(dirty_frag_vmsplice + dirty_frag_splice by same exe or pid) >= 3 within 600s
  AND MAC_IPSEC_EVENT / XFRM activity within 1200s
  AND (dirty_frag_su_exec OR execve with euid=0 and auid>=1000) within 1200s
THEN
  alert = "Possible DirtyFrag CVE-2026-43284 Linux LPE"
  severity = high/critical

Recomendações para SOC

• Aplique o patch no kernel e force a reinicialização no kernel corrigido após as atualizações.
• Colete telemetria de syscalls com auditd, Falco, ferramentas baseadas em eBPF ou EDR.
• Não alerte apenas em um único evento euid=0; isso também captura o uso legítimo de sudo.
• Correlacione unshare, vmsplice, splice, atividade XFRM/ESP, su e criação de processo root a partir de uma sessão de usuário normal.
• Considere restringir kernel.unprivileged_userns_clone onde a compatibilidade de aplicativos permitir.
• Revise se os módulos ESP/IPsec são necessários em uma determinada classe de host e restrinja o carregamento desnecessário de módulos quando apropriado.
• Encaminhe logs para um coletor remoto ou SIEM; após LPE, os logs locais podem ser modificados pelo atacante.
• Monitore a qualidade do auditd: lost deve permanecer 0 durante testes e monitoramento em produção.
• Mantenha um playbook de triagem de LPE no Linux cobrindo isolamento de host, coleta de logs de auditoria, verificação do kernel em execução e captura de módulos carregados.

Notas

O status coletado do auditd mostrou lost=2555, o que significa que alguns eventos de auditoria podem ter sido descartados. A cadeia principal ainda está visível, mas testes futuros devem aumentar o backlog de auditoria e confirmar lost=0 antes de executar o PoC.

O relatório foca intencionalmente em CVE-2026-43284 / XFRM/ESP para evitar misturar o escopo de detecção do SOC com outros caminhos relacionados ao DirtyFrag.