O vulnerabilitate recent divulgată din kernelul Linux, denumită „Dirty Frag”, permite oricărui utilizator local fără privilegii să obțină acces root complet pe practic orice distribuție Linux majoră, fără ca vreun vendor să fi lansat deocamdată patch-uri. Vulnerabilitatea a fost făcută publică pe 7 mai 2026, după ce o terță parte neimplicată a încălcat embargoul de divulgare coordonată, lăsând distribuțiile să se grăbească să informeze utilizatorii cu privire la soluțiile temporare de atenuare.
Cum funcționează vulnerabilitatea
Dirty Frag, descoperită de cercetătorul în securitate Hyunwoo Kim (@v4bel), înlănțuie două bug-uri separate de scriere în cache-ul de pagini — unul în calea de recepție xfrm-ESP (IPsec) a nucleului și altul în stratul de transport RxRPC — pentru a corupe fișiere doar-citire din memorie și a escalada privilegiile. Tehnica exploatează calea de trimitere zero-copy a nucleului, prin care splice() inserează o referință la o pagină din cache într-un slot „frag” al unui buffer de rețea. Codul de pe partea receptorului efectuează apoi operații criptografice direct pe acea pagină, modificând permanent versiunea din cache a unor fișiere precum /usr/bin/su sau /etc/passwd.
Spre deosebire de exploit-urile bazate pe condiții de cursă, Dirty Frag este un bug de logică determinist, care nu necesită nicio fereastră de sincronizare și are o rată de succes extrem de ridicată. Pe GitHub a fost publicat un proof-of-concept funcțional capabil să obțină acces root „dintr-o singură comandă”. Red Hat a atribuit CVE-2026-43284 pentru urmărirea problemei, iar vulnerabilitatea este estimată să afecteze aproximativ nouă ani de versiuni de kernel.
Embargoul încălcat forțează divulgarea anticipată
Kim a raportat vulnerabilitatea ESP la adresa security@kernel.org pe 30 aprilie și a trimis detaliile vulnerabilității pe lista de distribuție linux-distros pe 7 mai, cu un embargo de cinci zile stabilit pentru 12 mai. Totuși, în câteva ore, o terță parte independentă a efectuat inginerie inversă asupra commit-ului public de remediere netdev și a publicat detalii despre exploit, încălcând embargoul înainte ca vreo distribuție să poată lansa un patch. După consultarea cu responsabilii distribuțiilor, Kim a publicat documentația completă Dirty Frag și codul exploit.
Terța parte, care a publicat un depozit de cod intitulat „Copy Fail 2: Electric Boogaloo”, a declarat că activitatea sa reprezintă o „weaponizare n-day” standard, construită pe baza unui commit upstream disponibil public, și nu o scurgere din procesul de coordonare.
Atenuarea vulnerabilității în absența unui patch
Fără patch-uri de kernel disponibile din partea Ubuntu, Red Hat, Fedora, AlmaLinux, openSUSE sau CentOS Stream, administratorii sunt sfătuiți să blocheze cele trei module de kernel vulnerabile — esp4, esp6 și rxrpc — ca măsură provizorie. Red Hat a avertizat că această soluție de avarie va întrerupe tunelurile IPsec care se bazează pe calea de date a kernelului și a îndemnat clienții să testeze mai întâi în medii non-producție. CloudLinux a precizat că modulul rxrpc, folosit aproape exclusiv de clienții AFS, nu este prezent pe serverele tipice de găzduire web.
Vulnerabilitatea survine la scurt timp după Copy Fail (CVE-2026-31431), un defect înrudit din același subsistem de kernel, divulgat cu doar o săptămână mai devreme. Kim a precizat că Dirty Frag rămâne exploatabil chiar și pe sistemele unde măsura de atenuare pentru Copy Fail — blocarea modulului algif_aead — a fost deja aplicată.
Surse: https://www.openwall.com/lists/oss-security/2026/05/07/8
https://access.redhat.com/solutions/7142250
https://blog.cloudlinux.com/dirty-frag-mitigation-and-kernel-update