DirtyFrag CVE-2026-43284 PoC 验证与 auditd 检测

范围： 针对 CVE-2026-43284 的 XFRM/ESP 路径的 Linux 本地权限提升（LPE）验证。

该仓库包含一份英文报告以及从公开 DirtyFrag PoC 的受控实验室验证中提取的证据工件。重点不在于提供利用指南，而在于记录 Linux 审计日志中可见的事件，以及如何将这些事件转化为实用的 SOC 检测逻辑。

完整 PDF 报告：

EN: reports/DirtyFrag_CVE-2026-43284_EN.pdf

PL: reports/DirtyFrag_CVE-2026-43284_PL.pdf

目的与范围

测试旨在验证普通本地用户能否在易受攻击的实验室虚拟机中获得 root shell，并确定可通过 auditd 捕获哪些事件。

CVE-2026-43284 涉及 ESP/IPsec 操作期间对共享页面片段的错误处理。在特定条件下，本地攻击者可影响页面缓存中的数据并提升权限。Ubuntu Security 将此漏洞评级为 CVSS 3.1：7.8 高危。

技术参考：

• 公开 DirtyFrag PoC 仓库：https://github.com/V4bel/dirtyfrag
• Ubuntu Security - CVE-2026-43284：https://ubuntu.com/security/CVE-2026-43284
• Ubuntu 博客 - Dirty Frag Linux 漏洞修复可用：https://ubuntu.com/blog/dirty-frag-linux-vulnerability-fixes-available

测试环境

完整系统基线：evidence/logs/system-info-table.md

结果

执行 PoC 前，测试上下文为普通用户账户。运行 ./exp 后，获得 root shell，并通过 whoami 和 id 确认。

证据收集

测试后，将 auditd 日志和摘要输出导出到本地证据目录，并复制到该仓库中。

仓库结构

auditd 检测逻辑

最有用的检测并非单个事件。最强的信号是在短时间窗口内观察到的完整链：

用户命名空间 -> vmsplice/splice -> ESP/XFRM -> su -> 以普通用户 AUID 运行的 root shell

相关 auditd 键

重建的事件链

SIEM 关联示例

IF
  由 auid>=1000 触发的 dirty_frag_unshare
  AND 在 600 秒内，同一 exe 或 pid 的 dirty_frag_vmsplice + dirty_frag_splice 计数 >= 3
  AND 在 1200 秒内的 MAC_IPSEC_EVENT / XFRM 活动
  AND 在 1200 秒内的 (dirty_frag_su_exec 或 euid=0 且 auid>=1000 的 execve)
THEN
  告警 = "可能的 DirtyFrag CVE-2026-43284 Linux LPE"
  严重性 = 高/严重

SOC 建议

• 修补内核，并在更新后强制重启进入修补后的内核。
• 使用 auditd、Falco、基于 eBPF 的工具或 EDR 收集系统调用遥测数据。
• 不要仅针对单个 euid=0 事件发出告警；这也可能捕获合法的 sudo 使用。
• 关联 unshare、vmsplice、splice、XFRM/ESP 活动、su 以及从普通用户会话创建的 root 进程。
• 在应用程序兼容性允许的情况下，考虑限制 kernel.unprivileged_userns_clone。
• 审查特定主机类是否需要 ESP/IPsec 模块，并在适当情况下限制不必要的模块加载。
• 将日志转发到远程收集器或 SIEM；LPE 后，本地日志可能被攻击者篡改。
• 监控 auditd 质量：在测试和实际监控期间，lost 应保持为 0。
• 维护一份涵盖主机隔离、审计日志收集、运行内核验证和已加载模块捕获的 Linux LPE 分类剧本。

备注

收集的 auditd 状态显示 lost=2555，这意味着某些审计事件可能已被丢弃。关键链仍然可见，但未来的测试应先增加审计积压队列并确认 lost=0 后再运行 PoC。

报告特意聚焦于 CVE-2026-43284 / XFRM/ESP，以避免将 SOC 检测范围与其他 DirtyFrag 相关路径混淆。