Dirty Frag: 9-летняя уязвимость в ядре Linux

7 мая была обнаружена новая уязвимость в ядре Linux, позволяющая получить права суперпользователя. Эмбарго на её раскрытие было нарушено третьими лицами. Хотя решение для устранения проблемы было быстро найдено, разработчики дистрибутивов Linux спешат выпустить обновления ядра, включающие необходимый патч.

Выходные 8 мая оказались напряженными для системных администраторов: чуть более чем через неделю после обнаружения уязвимости Copy fail в ядре Linux, 7 мая была публично раскрыта еще одна уязвимость. Теперь она известна под названием Dirty Frag.

Как и в случае с Copy fail, эксплуатация этой уязвимости позволяет повысить привилегии, что означает, что обычный пользователь системы может легко получить доступ к правам суперпользователя и выполнять любые действия. Однако для этого необходимо иметь учетную запись на целевой машине.

Нарушение эмбарго

Эта уязвимость была обнаружена независимым исследователем Хёнву Кимом. Однако он не планировал публиковать информацию так рано. Как он объяснил в пятницу в списке рассылки oss-security, другие лица нарушили эмбарго, установленное на раскрытие этой уязвимости, которая затрагивает большинство дистрибутивов Linux.

Таким образом, в пятницу, когда он опубликовал сообщение, патча еще не существовало, и уязвимости не был присвоен идентификационный номер. Единственный способ, который он предложил для предотвращения её эксплуатации, заключался в блокировке затронутых модулей с помощью следующей команды:

sh -c 'printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true'

С тех пор сообщество активно работало над устранением уязвимости. Хёнву Ким создал официальный репозиторий на GitHub для её описания, и в результате были созданы две CVE: CVE-2026-43284 и CVE-2026-43500. Оценка уязвимости для второй еще не установлена, но для CVE-2026-43284 она составляет 8,8. Как и в случае с Copy Fail, вектор атаки является локальным (AV:L): необходимо иметь локальный доступ к машине, и оценка, вероятно, была бы выше, если бы это было не так.

Возможность эксплуатации с 2017 года

Обе уязвимости, как и Copy Fail, связаны с возможностью модификации страничного кэша (для xfrm-ESP — с 2017 года, что относится к CVE-2026-43284, и для RxRPC — с 2023 года, что относится к CVE-2026-43500). Исправленные соответственно 5 и 10 мая в обоих проектах, Хёнву Ким подчеркивает, что «другими словами, эффективный срок жизни этих уязвимостей составляет около 9 лет».

Сходство с Copy fail не удивительно, так как Хёнву Ким объясняет, что именно эта первая уязвимость вдохновила его на поиск аналогичных проблем.

Исследователь также предоставил PoC (Proof of Concept). Было проведено тестирование на виртуальном выделенном сервере с установленной Ubuntu 25.04, где удалось воспроизвести поведение уязвимости. Таким образом, любой, кто имеет учетную запись на машине, может получить права root и выполнять любые действия.

В своей документации, до того как будет развернут официальный патч для вашего дистрибутива, Хёнву Ким предлагает тот же способ временного устранения проблемы, что и в его сообщении в списке рассылки oss-security.

Как поясняется, этот метод может вызвать проблемы при использовании протокола VPN IPSec (например, с strongSwan) или распределенной файловой системы AFS (Andrew File System), «или любого другого приложения, использующего RxRPC».

Гонка за патчами

Постепенно разработчики дистрибутивов Linux выпускают исправления. Например, это касается некоторых версий Debian. Однако из-за нарушения эмбарго развертывание патчей не было завершено к моменту публичного раскрытия уязвимости. На репозитории GitHub, названном «Copy Fail 2: Electric Boogaloo», другие лица опубликовали информацию об уязвимости, дополняя работу Хёнву Кима и отдавая ему должное.

Хёнву Ким объясняет, что он связался с командой безопасности ядра Linux 30 апреля, предоставив эксплойт, демонстрирующий возможности использования уязвимости, и что исследователь Куан-Тинг Чен параллельно работал над этой проблемой. Чен предложил патч 4 мая в списке рассылки netdev, и он был интегрирован в ветку netdev 7 мая. Затем Хёнву Ким проинформировал разработчиков дистрибутивов Linux через linux-distros, и было установлено пятидневное эмбарго. Однако это эмбарго было нарушено третьей стороной, что ускорило внедрение решения. Как и в случае с Copy Fail, системные администраторы оказались с частичной информацией о проблеме в момент её публичного раскрытия.