CVE-2026-43284 (Dirty Frag) – Pesquisa de Vulnerabilidade no Kernel Linux

Visão Geral

Este repositório documenta um projeto completo de pesquisa em segurança defensiva focado em CVE-2026-43284 (Dirty Frag), uma vulnerabilidade do kernel Linux que afeta o subsistema de rede XFRM/IPsec.

O objetivo deste projeto não é armar a vulnerabilidade, mas sim entender como ela funciona, reproduzi-la com segurança em um laboratório controlado, analisar o código-fonte do kernel Linux, estudar o patch de segurança e construir técnicas práticas de detecção e resposta a incidentes que possam ser utilizadas por profissionais de segurança.

O projeto combina pesquisa do kernel Linux, redes, operações de SOC, Detection Engineering e Resposta a Incidentes em um único portfólio prático.

Objetivos do Projeto

Este projeto foi criado para:

• Entender o subsistema de rede do Linux.
• Aprender os internals do kernel Linux.
• Estudar o processamento de pacotes dentro do kernel.
• Analisar a causa raiz do Dirty Frag.
• Comparar o código-fonte vulnerável e o corrigido.
• Construir um laboratório de pesquisa seguro e reproduzível.
• Desenvolver regras de detecção usando auditd, Splunk e Wazuh.
• Realizar threat hunting.
• Praticar resposta a incidentes.
• Mapear comportamentos de atacantes para o MITRE ATT&CK.
• Produzir documentação útil para VAPT, SOC, DFIR e administradores Linux.

Sobre a CVE-2026-43284

Dirty Frag é uma vulnerabilidade do kernel Linux localizada dentro do subsistema de rede XFRM/IPsec.

Em vez de simplesmente reproduzir uma Prova de Conceito (PoC), este repositório foca em entender:

• Por que a vulnerabilidade existe.
• Quais componentes do kernel estão envolvidos.
• Como os pacotes se movem pela pilha de rede.
• Por que a proteção Copy-on-Write falhou.
• Como os desenvolvedores do Linux corrigiram o problema.
• Como defensores podem detectar atividades suspeitas.
• Como respondedores de incidentes devem investigar sistemas afetados.

Habilidades Demonstradas

Este projeto demonstra experiência prática em:

• Administração Linux
• Pesquisa do Kernel Linux
• Análise de Código-Fonte
• Git e Análise de Patches
• Redes
• IPsec / XFRM
• Docker
• Detection Engineering
• SIEM
• Splunk
• Wazuh
• auditd
• Threat Hunting
• Resposta a Incidentes
• MITRE ATT&CK
• Documentação Técnica

Estrutura do Repositório

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

Roteiro de Aprendizado

A documentação foi projetada para ser lida na seguinte ordem.

Fase 1 – Construir o Laboratório

Aprenda como preparar um ambiente de pesquisa Linux usando Docker e configurar um laboratório reproduzível.

Os tópicos incluem:

• Preparação do ambiente
• Docker
• Redes
• Código-fonte do kernel
• Compilação do kernel

Fase 2 – Pesquisa

Estude o próprio kernel Linux.

Os tópicos incluem:

• Análise da versão do kernel
• Árvore de código-fonte do Linux
• Subsistema XFRM
• sk_buff
• Copy-on-Write
• Análise de código-fonte
• Comparação de patches

Fase 3 – Detection Engineering

Aprenda como defensores detectam atividades suspeitas relacionadas ao Dirty Frag.

Os tópicos incluem:

• auditd
• Splunk
• Wazuh
• Linux Audit Framework
• Correlação SIEM
• Regras de detecção
• Fluxos de investigação

Fase 4 – Threat Hunting

Realize buscas proativas por indicadores de comprometimento.

Os tópicos incluem:

• Correlação de logs
• Execução de processos
• Atividade de módulos do kernel
• Eventos de autenticação
• Integridade de arquivos
• Atividade de rede

Ambiente de Laboratório

A pesquisa foi realizada em um ambiente de laboratório isolado.

Os componentes de exemplo incluem:

• Kali Linux (Estação de Pesquisa)
• Ubuntu Linux
• Docker
• Código-fonte do Kernel Linux
• Git
• Python
• auditd
• Splunk
• Wazuh

Nenhum sistema de produção foi utilizado durante esta pesquisa.

Ferramentas Utilizadas

Público-Alvo

Este repositório é destinado a:

• Analistas de SOC
• Detection Engineers
• Threat Hunters
• Respondedores de Incidentes
• Administradores Linux
• Pesquisadores de Segurança
• Engenheiros de VAPT
• Estudantes que aprendem segurança Linux

O Que Este Repositório NÃO Aborda

Este projeto foca em pesquisa de segurança defensiva.

Ele não fornece:

• Guias de exploração ofensiva
• Payloads maliciosos
• Provas de Conceito armadas
• Instruções para atacar sistemas de produção

O objetivo é melhorar a compreensão da segurança do kernel Linux e fortalecer as capacidades defensivas.

Referências

• Documentação do Kernel Linux
• Documentação XFRM do Linux
• MITRE ATT&CK
• Avisos de Segurança dos Fornecedores
• Registro Oficial da CVE

Licença

Este projeto é distribuído sob a Licença MIT.

Agradecimentos

Agradecimentos a:

• Desenvolvedores do Kernel Linux
• Pesquisadores de segurança que divulgaram a vulnerabilidade de forma responsável
• Comunidade de segurança de código aberto