CVE-2026-46300-Fragnesia---TryHackMe 实验室项目

该项目记录了对 Fragnesia（CVE-2026-46300）TryHackME 实验室的完成与分析， 该实验展示了一种 Linux 内核页面缓存损坏漏洞，能够通过修改缓存的文件页面（不改变磁盘上的文件）实现本地权限提升。

实验室目标

• 理解 Fragnesia 漏洞链。
• 分析 Linux 页面缓存损坏技术。
• 观察从非特权用户到主机 root 的权限提升过程。
• 理解以下组件的角色：
  • skb_try_coalesce()
  • SKBFL_SHARED_FRAG
  • ESP-in-TCP 接收处理
  • AES-GCM 原地解密
• 验证缓解和清理过程。

环境

漏洞摘要

Fragnesia 是一个 Linux 内核漏洞，能够通过 ESP-in-TCP 接收路径对页面缓存支持的文件页面进行确定性修改。

该漏洞源于数据包合并期间对共享套接字缓冲区片段的错误处理，允许对缓存文件内容进行受控的字节修改。

关键特性

利用流程

阶段 1 - 页面缓存损坏

该漏洞利用程序从非特权用户账户编译并执行。

cd /home/karen/fragnesia

gcc -02 -w fragnesia.c -o exp ./exp

该利用程序修改了以下文件的缓存副本：

/usr/bin/su

而不改变磁盘上存储的文件。

阶段 2 - 命名空间 root

该利用程序创建了一个用户命名空间，并在该命名空间内获得了 UID 0。

验证：

whoami
root

然而，尝试访问受保护资源失败：

cat /root/flag.txt
permission denied

这表明命名空间 root 并不等同于主机 root。

阶段 3 - 主机 root 提权

退出命名空间 shell 后：

exit
/usr/bin/su

被损坏的 /usr/bin/su 页面缓存副本执行了攻击者控制的代码。

验证：

whoami
root

id
uid=0(root) gid=0(root)

该进程现在拥有真正的主机级 root 权限。

Flag

THM{fragnesia_skb_coalesce_amnesia}

验证

为了确认该利用程序仅影响内存：

sha256sum /usr/bin/su

哈希值与原始二进制文件匹配，证实：

• 磁盘文件未发生变化。
• 仅页面缓存副本被修改。

清理

使用以下命令清除被损坏的页面缓存条目：

sudo sh -c 'echo 3 > /proc/sys/vm/ drop_caches'

缓存驱逐后，/usr/bin/su 恢复正常行为，并需要身份验证。

安全经验总结

• 内核补丁可能在同一子系统中引入新漏洞。
• 页面缓存损坏仍然是一种强大的权限提升技术。
• 命名空间 root 和主机 root 是根本不同的安全上下文。
• 仅基于磁盘哈希的完整性监控可能无法检测到页面缓存攻击。
• 内存驻留修改可以绕过传统的文件完整性控制。

展示的技能

• Linux 权限提升
• 内核漏洞分析
• 页面缓存内部机制
• 用户命名空间
• Linux 进程安全
• 漏洞利用验证
• 安全缓解措施验证
• 事件分析

参考资料

TryHackMe – Fragnesia (CVE-2026-46300) Linux 内核文档 CVE-2026-46300 研究资料

作者

Ejepu Benedict Amaechi 项目完成并作为 TryHackMe 动手网络安全培训的一部分进行记录。