概述

漏洞摘要

Linux内核 xfrm/ESP 和 RxRPC 子系统中的逻辑缺陷允许无特权的本地用户对系统上任何可读文件的页缓存执行确定性、受控的任意写入——包括setuid二进制文件（如 /usr/bin/su）。

根本原因是共享套接字缓冲区（skb）片段的不安全原地解密，这些片段引用了页缓存页，特别是在使用 splice(2) 或 sendfile(2) 时。这提供了一个强大的任意页缓存写入原语，可用于覆盖内存中的敏感文件，从而获得完全 root 访问权限。

通过链接两种不同的原语实现通用覆盖：

• CVE-2026-43284 — xfrm-ESP 页缓存写入：与Copy Fail共享相同的接收端，但通过 esp4/esp6 模块触发，无论 algif_aead 是否可用。需要创建命名空间的权限。
• CVE-2026-43500 — RxRPC 页缓存写入：不需要命名空间权限，但必须存在 rxrpc.ko（Ubuntu默认加载）。覆盖了 CVE-2026-43284 的盲点。

链接这两种变体可以相互覆盖对方的盲点，从而在每一个主要发行版上实现可靠的 root 权限。

无需竞争条件。无需重试。无崩溃风险。在所有测试过的发行版上均可确定性执行。

重要提示： 即使系统应用了公开已知的Copy Fail缓解措施（algif_aead黑名单），Dirty Frag仍然可以通过 CVE-2026-43284 被利用。

与先前技术的对比

影响

• 无特权本地攻击者 → root shell
• 影响几乎所有自2017年以来搭载受影响内核的主要Linux发行版
• 无需竞争条件，高度可靠
• 完全绕过 algif_aead 黑名单（Copy Fail的变通方案）
• 漏洞利用尝试失败后内核不会崩溃

受影响版本

CVE-2026-43284 (xfrm/ESP)： 从提交 cac2661c53f3（2017-01-17）到 f4c50a4034e6（2026-05-05）之间的Linux内核。

CVE-2026-43500 (RxRPC)： 从提交 2dc334f1a63a（2023-06-08）到 aa54b1d27fe0（2026-05-10）之间的Linux内核。

该漏洞链的有效生命周期约为 9年。

所有在此范围内搭载内核的主要发行版均受影响，包括：

漏洞利用

构建与运行

gcc -O0 -Wall -o exp exp.c -lutil && ./exp

请勿在未经授权的系统上使用。

清理

⚠️ 重要提示： 运行此漏洞利用后，页缓存已被污染。要清除被污染的页缓存并确保系统稳定，请运行：

echo 3 > /proc/sys/vm/drop_caches

或重启系统。

缓解措施

选项1 — 补丁（推荐）

更新到包含主线修复的内核并重启。

主线修复版本：

• CVE-2026-43284: 提交 f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
• CVE-2026-43500: 提交 aa54b1d27fe0c2b78e664a34fd0fdf7cd1960d71

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / CentOS Stream
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE / openSUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

# Fedora
sudo dnf upgrade --refresh && sudo reboot

选项2 — 黑名单漏洞模块（临时）

如果无法立即打补丁，请禁用漏洞模块并清除页缓存。

# 黑名单漏洞模块
sudo sh -c 'printf "install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n" > /etc/modprobe.d/dirtyfrag.conf'

# 立即卸载模块
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

# 清除页缓存
echo 3 | sudo tee /proc/sys/vm/drop_caches >/dev/null

此变通方案的影响

选项3 — seccomp / AppArmor（纵深防御）

对于不可信的工作负载（容器、CI运行器、沙箱环境），无论补丁状态如何，通过 seccomp 或 AppArmor 策略限制 AF_ALG 套接字创建和 splice() 系统调用。这可以在易受攻击的内核上限制攻击面，但并非完整的修复。

检测

检查当前是否加载或使用了漏洞模块：

# 检查模块是否已加载
lsmod | grep -E 'esp4|esp6|rxrpc'

# 检查是否有进程打开了AF_ALG套接字
lsof | grep AF_ALG
ss -xa | grep alg

# 重启后确认变通方案是否生效
cat /etc/modprobe.d/dirtyfrag.conf

参考

披露时间线

常见问题

为什么要链式利用两个漏洞？

xfrm-ESP 页缓存写入 提供了强大的任意4字节STORE原语，存在于大多数发行版中，但需要创建命名空间的权限——Ubuntu有时会通过AppArmor阻止。RxRPC 页缓存写入 不需要命名空间权限，但 rxrpc.ko 并未包含在大多数发行版中——Ubuntu除外，默认加载。链式利用这两个漏洞可以让它们的盲点相互覆盖，从而在每一个主要发行版上实现可靠的 root 权限。

与 Copy Fail (CVE-2026-31431) 的关系是什么？

xfrm-ESP 原语与 CVE-2026-31431 共享相同的页缓存写入接收端，但通过 esp4/esp6 模块独立于 algif_aead 触发。应用 CVE-2026-31431 的缓解措施（将 algif_aead 列入黑名单）无法防御 Dirty Frag。

为什么叫“脏片段”？

该漏洞污染了 struct sk_buff 的 frag 成员，将其置于与 Dirty Pipe 相同的漏洞类别中——即允许无特权写入页缓存的逻辑缺陷。

免责声明

本仓库仅用于教育和防御性安全目的。请不要将本仓库中的任何信息或代码用于您不拥有或未经明确书面授权测试的系统。