Visão Geral

Resumo da Vulnerabilidade

Uma falha lógica nos subsistemas xfrm/ESP e RxRPC do kernel Linux permite que um usuário local sem privilégios realize uma gravação arbitrária determinística e controlada no page cache de qualquer arquivo legível do sistema — incluindo binários setuid como /usr/bin/su.

A causa raiz é a descriptografia in-place insegura de fragmentos compartilhados de socket buffer (skb) que referenciam páginas do page cache, particularmente ao usar splice(2) ou sendfile(2). Isso fornece uma primitiva poderosa de gravação arbitrária no page cache, que pode ser aproveitada para sobrescrever arquivos sensíveis em memória e obter acesso total de root.

Duas primitivas distintas são encadeadas para obter cobertura universal:

• CVE-2026-43284 — xfrm-ESP Page-Cache Write: compartilha o mesmo sink do Copy Fail, mas é acionada via os módulos esp4/esp6, independentemente de algif_aead estar disponível. Requer privilégios de criação de namespaces.
• CVE-2026-43500 — RxRPC Page-Cache Write: não requer privilégios de namespace, mas rxrpc.ko deve estar presente (carregado por padrão no Ubuntu). Cobre os pontos cegos do CVE-2026-43284.

Encadear as duas variantes faz com que elas cubram os pontos cegos uma da outra, alcançando root confiável em todas as principais distribuições.

Sem condição de corrida. Sem novas tentativas. Sem risco de crash. Determinístico em todas as distribuições testadas.

Importante: Mesmo em sistemas onde a mitigação publicamente conhecida do Copy Fail (lista negra do algif_aead) é aplicada, o Dirty Frag permanece explorável via CVE-2026-43284.

Comparação com Trabalhos Anteriores

Impacto

• Atacante local sem privilégios → shell root
• Afeta praticamente todas as principais distribuições Linux que distribuem kernels desde 2017
• Altamente confiável, sem exigir condições de corrida
• Contorna por completo a lista negra do algif_aead (solução alternativa do Copy Fail)
• O kernel não entra em pânico em tentativas de exploração malsucedidas

Versões Afetadas

CVE-2026-43284 (xfrm/ESP): Linux kernel do commit cac2661c53f3 (2017-01-17) até f4c50a4034e6 (2026-05-05).

CVE-2026-43500 (RxRPC): Linux kernel do commit 2dc334f1a63a (2023-06-08) até aa54b1d27fe0 (2026-05-10).

O tempo de vida efetivo da cadeia de vulnerabilidades é de aproximadamente 9 anos.

Todas as principais distribuições que distribuem kernels nesse intervalo são afetadas, incluindo:

Exploração

Compilando e Executando

gcc -O0 -Wall -o exp exp.c -lutil && ./exp

Não use em sistemas nos quais você não está autorizado a testar.

Limpeza

⚠️ Importante: Após executar este exploit, o page cache fica contaminado. Para limpar o page cache poluído e garantir a estabilidade do sistema, execute:

echo 3 > /proc/sys/vm/drop_caches

ou reinicie o sistema.

Mitigação

Opção 1 — Patch (Recomendado)

Atualize para um kernel que contenha as correções da mainline e reinicie.

Corrigido na mainline via:

• CVE-2026-43284: commit f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
• CVE-2026-43500: commit aa54b1d27fe0c2b78e664a34fd0fdf7cd1960d71

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / CentOS Stream
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE / openSUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

# Fedora
sudo dnf upgrade --refresh && sudo reboot

Opção 2 — Incluir Módulos Vulneráveis na Lista Negra (Temporário)

Se não for possível aplicar o patch imediatamente, desabilite os módulos vulneráveis e limpe o page cache.

# Blacklist vulnerable modules
sudo sh -c 'printf "install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n" > /etc/modprobe.d/dirtyfrag.conf'

# Unload modules immediately
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

# Drop page cache
echo 3 | sudo tee /proc/sys/vm/drop_caches >/dev/null

O Que Esta Solução Alternativa Afeta

Opção 3 — seccomp / AppArmor (Defesa em Profundidade)

Para cargas de trabalho não confiáveis — contêineres, runners de CI, ambientes com sandbox — restrinja a criação de sockets AF_ALG e splice() via política seccomp ou AppArmor, independentemente do estado do patch. Isso limita a superfície de ataque mesmo em kernels vulneráveis, mas não é uma correção completa.

Detecção

Verifique se os módulos vulneráveis estão atualmente carregados ou em uso:

# Check if modules are loaded
lsmod | grep -E 'esp4|esp6|rxrpc'

# Check if any process has an AF_ALG socket open
lsof | grep AF_ALG
ss -xa | grep alg

# Confirm workaround is active after reboot
cat /etc/modprobe.d/dirtyfrag.conf

Referências

Linha do Tempo de Divulgação

Perguntas Frequentes (FAQ)

Por que encadear duas vulnerabilidades?

xfrm-ESP Page-Cache Write fornece uma poderosa primitiva STORE arbitrária de 4 bytes e está presente na maioria das distribuições, mas requer privilégios de criação de namespaces — que o Ubuntu às vezes bloqueia via AppArmor. RxRPC Page-Cache Write não requer privilégios de namespace, mas rxrpc.ko não está incluído na maioria das distribuições — exceto no Ubuntu, onde é carregado por padrão. Encadear as duas faz com que seus pontos cegos se cubram mutuamente, alcançando root confiável em todas as principais distribuições.

Qual é a relação com o Copy Fail (CVE-2026-31431)?

A primitiva xfrm-ESP compartilha o mesmo sink de gravação no page cache do CVE-2026-31431, mas é acionada via os módulos esp4/esp6 independentemente do algif_aead. Aplicar a mitigação do CVE-2026-31431 (incluir algif_aead na lista negra) não protege contra o Dirty Frag.

Por que o nome "Dirty Frag"?

A vulnerabilidade corrompe o membro frag do struct sk_buff, colocando-a na mesma classe de bug do Dirty Pipe — falhas lógicas que permitem gravações sem privilégios no page cache.

Aviso Legal

Este repositório destina-se exclusivamente a fins educacionais e de segurança defensiva. Não use qualquer informação ou código deste repositório em sistemas que você não possui ou para os quais não tenha autorização explícita por escrito para testar.