CVE-2026-46300-Fragnesia---TryHackMe-Lab-Project

Данный проект документирует выполнение и анализ лабораторной работы Fragnesia (CVE-2026-46300) на платформе TryHackMe, которая демонстрирует уязвимость ядра Linux, связанную с повреждением кэша страниц (page cache), позволяющую выполнять локальное повышение привилегий путём модификации кэшированных страниц файлов без изменения самих файлов на диске.

Цели лабораторной работы

• Понять цепочку уязвимости Fragnesia.
• Проанализировать методы повреждения кэша страниц Linux.
• Наблюдать процесс повышения привилегий от непривилегированного пользователя до root на хосте.
• Понять роль:
  • skb_try_coalesce()
  • SKBFL_SHARED_FRAG
  • обработки ESP-in-TCP (получение)
  • расшифровки AES-GCM на месте (in-place)
• Проверить процедуры смягчения уязвимости и очистки.

Окружение

Краткое описание уязвимости

Fragnesia – это уязвимость ядра Linux, которая позволяет детерминированно модифицировать страницы файлов, поддерживаемые кэшем страниц (page-cache-backed), через путь получения ESP-in-TCP.

Уязвимость возникает из-за некорректной обработки общих фрагментов сокетного буфера при объединении пакетов (coalescing), что позволяет контролируемо изменять байты в кэшированном содержимом файлов.

Ключевые характеристики

Ход эксплуатации

Этап 1 – Повреждение кэша страниц

Эксплойт был скомпилирован и запущен от имени непривилегированного пользователя.

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

Эксплойт модифицировал кэшированную копию файла:

/usr/bin/su

не изменяя файл, хранящийся на диске.

Этап 2 – Root в пространстве имён (namespace root)

Эксплойт создал пользовательское пространство имён и получил UID 0 внутри этого пространства.

Проверка:

whoami
root

Однако попытки доступа к защищённым ресурсам не увенчались успехом:

cat /root/flag.txt
permission denied

Это показало, что root в пространстве имён не эквивалентен root на хосте.

Этап 3 – Повышение до root на хосте

После выхода из оболочки пространства имён:

exit
/usr/bin/su

Повреждённая кэшированная копия /usr/bin/su выполнила код, контролируемый атакующим.

Проверка:

whoami
root

id
uid=0(root) gid=0(root)

Теперь процесс обладал истинными привилегиями root на хосте.

Флаг

THM{fragnesia_skb_coalesce_amnesia}

Верификация

Для проверки, что эксплойт затронул только память:

sha256sum /usr/bin/su

Хэш совпал с оригинальным бинарным файлом, что подтвердило:

• Файл на диске остался неизменным.
• Изменена была только копия в кэше страниц.

Очистка

Записи повреждённого кэша страниц были удалены с помощью:

sudo sh -c 'echo 3 > /proc/sys/vm/drop_caches'

После очистки кэша /usr/bin/su вернулся к нормальному поведению и требовал аутентификации.

Уроки безопасности

• Исправления ядра могут внедрять новые уязвимости в той же подсистеме.
• Повреждение кэша страниц остаётся мощным методом повышения привилегий.
• Root в пространстве имён и root на хосте – принципиально разные контексты безопасности.
• Мониторинг целостности, основанный только на хэшах диска, может не обнаружить атаки на кэш страниц.
• Модификации, находящиеся только в памяти, могут обходить традиционные средства контроля целостности файлов.

Продемонстрированные навыки

• Повышение привилегий в Linux
• Анализ уязвимостей ядра
• Внутреннее устройство кэша страниц
• Пользовательские пространства имён
• Безопасность процессов Linux
• Валидация эксплойтов
• Проверка мер смягчения уязвимости
• Анализ инцидентов

Ссылки

TryHackMe – Fragnesia (CVE-2026-46300) Документация ядра Linux Материалы исследований CVE-2026-46300

Автор

Ejepu Benedict Amaechi Проект выполнен и задокументирован в рамках практического обучения кибербезопасности на платформе TryHackMe.