🔴 Fragnesia — CVE-2026-46300

Повышение привилегий в ядре Linux · CVSS 7.8 · Опубликовано 14 мая 2026

Репозиторий только для ознакомления. Этот репозиторий не содержит эксплойт-кода. Его цель — проинформировать системных администраторов, инженеров и команды безопасности о характере уязвимости и доступных мерах по устранению.

📋 Краткое описание

🧬 Контекст и происхождение

Fragnesia — это третья уязвимость из серии, обнаруженной в подсистеме IPsec ядра Linux за две недели:

Dirty Frag (CVE-2026-43284)  ──►  Copy Fail (CVE-2026-43500)  ──►  Fragnesia (CVE-2026-46300)
         Май 2026                        Май 2026                        14 мая 2026

По иронии судьбы, патч для Dirty Frag латентно активировал уязвимость Fragnesia — исправление CVE-2026-43284 открыло путь кода, в котором проявился существовавший ранее баг из коммита 2013 года.

"Fragnesia была случайно активирована патчем, исправляющим CVE-2026-43284." — Hyunwoo Kim, обнаруживший Dirty Frag

🔬 Технический анализ

Происхождение бага

Уязвимость находится в функции skb_try_coalesce() кода socket-буфера ядра. При объединении фрагментов между буферами маркер SKBFL_SHARED_FRAG не передавался, из-за чего ядро теряло информацию о том, что фрагмент привязан к страницам page cache (например, файл, отображённый в память через splice()).

Цепочка эксплуатации

1. Атакующий открывает TCP-сокет
2. Он выполняет splice() страниц файла только для чтения (например, /usr/bin/su) в очередь приёма
3. Сокет переключается в режим espintcp (ULP)
4. Ядро обрабатывает страницы файла как зашифрованный текст ESP
5. Дешифрование AES-GCM на месте записывает подконтрольные байты в page cache
6. /usr/bin/su в памяти повреждается → выполнение root-кода при следующем вызове

Заметные особенности

• ✅ Нет состояния гонки — эксплуатация 100% детерминированная
• ✅ Без изменения диска — изменяется только копия в памяти (перезагрузка восстанавливает состояние)
• ✅ Использует user namespaces (включены по умолчанию) для получения CAP_NET_ADMIN без высоких прав
• ✅ Любой читаемый атакующим файл может быть целью, не только su
• ⚠️ Трудно обнаружить традиционными дисковыми средствами

🎯 Затронутые системы

Все ядра Linux, выпущенные до 13 мая 2026, включающие механизм SKBFL_SHARED_FRAG.

Затронутые дистрибутивы включают:

Среды с высоким риском

• 🏢 Многопользовательские серверы и jump-серверы
• ☸️ Рабочие узлы Kubernetes
• 🏗️ Фермы CI/CD и общие билд-раннеры
• ☁️ Облачные платформы SaaS, выполняющие пользовательский код
• 🐳 Контейнерные кластеры (общий page cache на хосте)

🛡️ Устранение

1. Патч — Окончательное решение

Обновить до исправленного ядра:

# Debian / Ubuntu
sudo apt-get update && sudo apt-get dist-upgrade -y
sudo reboot
uname -r  # Проверить версию нового ядра

# RHEL / AlmaLinux / Rocky Linux
sudo dnf clean metadata && sudo dnf upgrade -y
sudo reboot

# Arch Linux
sudo pacman -Syu
sudo reboot

2. Временное смягчение — Отключение уязвимых модулей

Если немедленное обновление невозможно:

# Выгрузить активные модули
sudo rmmod esp4 esp6 rxrpc 2>/dev/null; true

# Навсегда заблокировать модули
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
  | sudo tee /etc/modprobe.d/fragnesia.conf

# Перегенерировать initramfs (Debian/Ubuntu)
sudo update-initramfs -u

⚠️ Тот же список блокировки модулей, что использовался для Dirty Frag, покрывает и Fragnesia.

3. Проверка подверженности системы

# Проверить, загружены ли уязвимые модули
lsmod | grep -E '^esp4|^esp6|^rxrpc'
# Если команда вернула содержимое → система уязвима

# Проверить версию текущего ядра
uname -r
cat /etc/os-release

4. Дополнительные меры (контейнерные / облачные среды)

• Запретить создание сокетов AF_ALG через Seccomp
• Заблокировать создание непривилегированных user namespaces
• Отслеживать аномальный доступ к /etc/passwd, /etc/sudoers, /etc/shadow, /usr/bin/su
• Ограничить системные вызовы splice, add_key и unshare для непривилегированных пользователей

5. Постэксплуатация — Очистка page cache

Если эксплуатация подозревалась до применения патча:

sync; echo 3 | sudo tee /proc/sys/vm/drop_caches

⚠️ Это очищает только копию в памяти. Если атакующий уже получил права root и установил бэкдор, эта команда не поможет — считайте систему полностью скомпрометированной.

🔍 Обнаружение

Индикаторы компрометации (IoC)

Средства обнаружения должны отслеживать:

• Аномальный доступ или изменение /usr/bin/su, /usr/bin/sudo, /bin/bash в памяти
• Необычные системные вызовы: splice(), add_key(), unshare() от непривилегированных пользователей
• Создание сетевых user namespaces в системах, где это не ожидается
• Сетевая активность espintcp на непривилегированных сокетах пользователей

🔎 Средства безопасности, основанные только на анализе файлов на диске, не могут обнаружить эту эксплуатацию, так как бинарный файл на диске остаётся нетронутым.

📚 Официальные ссылки

• 🔗 Red Hat Advisory — CVE-2026-46300
• 🔗 Патч upstream netdev
• 🔗 AlmaLinux Blog — Fragnesia
• 🔗 Tenable FAQ — CVE-2026-46300
• 🔗 TuxCare — Технический анализ
• 🔗 Help Net Security — Раскрытие
• 🔗 NSFOCUS CERT Advisory
• 🔗 LinuxSecurity.com
• 🔗 SOC Prime Blog

⚖️ Юридическое и этическое предупреждение

Этот репозиторий опубликован с исключительно образовательной и защитной целью. Он не содержит эксплойт-кода (PoC).

Любое использование информации из этого репозитория в злонамеренных целях или без явного разрешения на сторонних системах является незаконным и противоречит этике. Автор не несёт ответственности за неправомерное использование этой информации.

Ответственное раскрытие — Если вы обнаружили уязвимость, следуйте практике ответственного раскрытия и свяжитесь с соответствующими командами безопасности перед публикацией.

👤 Автор

Maxime288 — github.com/Maxime288

Репозиторий мониторинга безопасности — отслеживание критических уязвимостей Linux