CVE-2026-43284 (Dirty Frag) – Pesquisa de Vulnerabilidade no Kernel Linux

---

Visão Geral

Este repositório documenta um projeto completo de pesquisa em segurança defensiva focado em CVE-2026-43284 (Dirty Frag), uma vulnerabilidade do kernel Linux que afeta o subsistema de rede XFRM/IPsec.

O objetivo deste projeto não é armar a vulnerabilidade, mas sim entender como ela funciona, reproduzi-la com segurança em um laboratório controlado, analisar o código-fonte do kernel Linux, estudar o patch de segurança e construir técnicas práticas de detecção e resposta a incidentes que possam ser utilizadas por profissionais de segurança.

O projeto combina pesquisa do kernel Linux, redes, operações de SOC, Detection Engineering e Resposta a Incidentes em um único portfólio prático.

---

Objetivos do Projeto

Este projeto foi criado para:

• Entender o subsistema de rede do Linux.
• Aprender os internals do kernel Linux.
• Estudar o processamento de pacotes dentro do kernel.
• Analisar a causa raiz do Dirty Frag.
• Comparar o código-fonte vulnerável e o corrigido.
• Construir um laboratório de pesquisa seguro e reproduzível.
• Desenvolver regras de detecção usando auditd, Splunk e Wazuh.
• Realizar threat hunting.
• Praticar resposta a incidentes.
• Mapear comportamentos de atacantes para o MITRE ATT&CK.
• Produzir documentação útil para VAPT, SOC, DFIR e administradores Linux.

---

Sobre a CVE-2026-43284

Dirty Frag é uma vulnerabilidade do kernel Linux localizada dentro do subsistema de rede XFRM/IPsec.

Em vez de simplesmente reproduzir uma Prova de Conceito (PoC), este repositório foca em entender:

• Por que a vulnerabilidade existe.
• Quais componentes do kernel estão envolvidos.
• Como os pacotes se movem pela pilha de rede.
• Por que a proteção Copy-on-Write falhou.
• Como os desenvolvedores do Linux corrigiram o problema.
• Como defensores podem detectar atividades suspeitas.
• Como respondedores de incidentes devem investigar sistemas afetados.

---

Habilidades Demonstradas

Este projeto demonstra experiência prática em:

• Administração Linux
• Pesquisa do Kernel Linux
• Análise de Código-Fonte
• Git e Análise de Patches
• Redes
• IPsec / XFRM
• Docker
• Detection Engineering
• SIEM
• Splunk
• Wazuh
• auditd
• Threat Hunting
• Resposta a Incidentes
• MITRE ATT&CK
• Documentação Técnica

---

Estrutura do Repositório

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

---

Roteiro de Aprendizado

A documentação foi projetada para ser lida na seguinte ordem.

Fase 1 – Construir o Laboratório

Aprenda como preparar um ambiente de pesquisa Linux usando Docker e configurar um laboratório reproduzível.

Os tópicos incluem:

• Preparação do ambiente
• Docker
• Redes
• Código-fonte do kernel
• Compilação do kernel

---

Fase 2 – Pesquisa

Estude o próprio kernel Linux.

Os tópicos incluem:

• Análise da versão do kernel
• Árvore de código-fonte do Linux
• Subsistema XFRM
• sk_buff
• Copy-on-Write
• Análise de código-fonte
• Comparação de patches

---

Fase 3 – Detection Engineering

Aprenda como defensores detectam atividades suspeitas relacionadas ao Dirty Frag.

Os tópicos incluem:

• auditd
• Splunk
• Wazuh
• Linux Audit Framework
• Correlação SIEM
• Regras de detecção
• Fluxos de investigação

---

Fase 4 – Threat Hunting

Realize buscas proativas por indicadores de comprometimento.

Os tópicos incluem:

• Correlação de logs
• Execução de processos
• Atividade de módulos do kernel
• Eventos de autenticação
• Integridade de arquivos
• Atividade de rede

---

Ambiente de Laboratório

A pesquisa foi realizada em um ambiente de laboratório isolado.

Os componentes de exemplo incluem:

• Kali Linux (Estação de Pesquisa)
• Ubuntu Linux
• Docker
• Código-fonte do Kernel Linux
• Git
• Python
• auditd
• Splunk
• Wazuh

Nenhum sistema de produção foi utilizado durante esta pesquisa.

---

Ferramentas Utilizadas

Categoria	Ferramentas
Sistema Operacional	Kali Linux, Ubuntu
Virtualização	Docker
Programação	Python
Pesquisa do Kernel	Git, GCC
Redes	iproute2, tcpdump, Wireshark
Detecção	auditd, Splunk, Wazuh
Threat Hunting	Splunk, Wazuh
Documentação	Markdown, GitHub

---

Público-Alvo

Este repositório é destinado a:

• Analistas de SOC
• Detection Engineers
• Threat Hunters
• Respondedores de Incidentes
• Administradores Linux
• Pesquisadores de Segurança
• Engenheiros de VAPT
• Estudantes que aprendem segurança Linux

---

O Que Este Repositório NÃO Aborda

Este projeto foca em pesquisa de segurança defensiva.

Ele não fornece:

• Guias de exploração ofensiva
• Payloads maliciosos
• Provas de Conceito armadas
• Instruções para atacar sistemas de produção

O objetivo é melhorar a compreensão da segurança do kernel Linux e fortalecer as capacidades defensivas.

---

Referências

• Documentação do Kernel Linux
• Documentação XFRM do Linux
• MITRE ATT&CK
• Avisos de Segurança dos Fornecedores
• Registro Oficial da CVE

---

Licença

Este projeto é distribuído sob a Licença MIT.

---

Agradecimentos

Agradecimentos a:

• Desenvolvedores do Kernel Linux
• Pesquisadores de segurança que divulgaram a vulnerabilidade de forma responsável
• Comunidade de segurança de código aberto