V posledních týdnech otřásla světem Linuxu nová zranitelnost, která pro mnoho administrátorů představovala poslední kapku v řadě kritických chyb jádra. Mluvíme o... Fragnesia, zneužití pro eskalaci lokálních privilegií což se přidává k rodině známých selhání Kopírování selhalo y Špinavý frag, a to umožňuje jakémukoli neprivilegovanému uživateli získat root přístup jediným příkazem na zranitelných systémech.
Po chybách Copy Fail a Dirty Frag se Fragnesia dostává do situace plné patchů: urgentní aktualizace, řetězené restarty a zmírňování nouzových situací. Ignorovat ji však nepřipadá v úvahu. Tato zranitelnost postihuje několik linuxových distribucí a verzí jádra.Plně funkční veřejně dostupný koncept již existuje. V tomto článku si rozebereme, co je Fragnesia, jak útok funguje, které distribuce jsou ovlivněny, jaké záplaty a zmírnění existují a jak zkontrolovat, zda je váš systém chráněn.
Co je Fragnesia a proč souvisí s Dirty Frag a Copy Fail?
Frangnesia je nové zneužití lokální eskalace oprávnění (LPE) v linuxovém jádře, která spadá do stejné rodiny zranitelností jako Copy Fail (CVE-2026-31431) a Dirty Frag (známá také jako Copy Fail 2, CVE-2026-43284). Sdílí s nimi základní myšlenku: využít logické nedostatky v síťovém zásobníku jádra a správě paměti k získání primitiva pro zápis do paměti, které umožňuje upravovat teoreticky soubory pouze pro čtení a nakonec spouštět kód jako root.
Rozhodnutí bylo nazváno Fragnesia a sledována jako CVE-2026-46300s CVSS skóre 7,8. Zranitelnost objevil William Bowling z bezpečnostního týmu V12. Krátce poté Sam James oznámil problém na mailing listu OSS Security a objasnil, že se nejedná o jednoduchou reanalýzu Dirty Frag, ale o jinou chybu na stejné funkční ploše jádra.
V praxi je Fragnesia třetí kritická porucha tohoto typu za pouhé dva týdnyCopy Fail, Dirty Frag a nyní i Fragnesia. Všechny tři zneužívají problémy se zpracováním dat jádra k poškození mezipaměti stránek kritických souborů, jako například /usr/bin/suFragnesia toho ale dosahuje jinou cestou: subsystémem ESP-in-TCP v XFRM.
Technické detaily: subsystém XFRM ESP-in-TCP a logická chyba
Jádro Fragnesie spočívá v logická chyba v subsystému Linux XFRM ESP-in-TCPKonkrétně v trase ULP (Upper Layer Protocol) s názvem espintcp. XFRM je framework jádra zodpovědný mimo jiné za zpracování provozu IPsec a ESP (Encapsulating Security Payload) je protokol, který zajišťuje důvěrnost a autenticitu prostřednictvím šifrování (například AES-GCM), jak se stalo u zranitelnosti v síťovém protokolu CAN BCM.
Útok je založen na velmi specifické situaci v jádře: když se TCP socket přepne do režimu ESP-in-TCP poté, co byly stránky souboru přidány do jeho fronty příjmu voláními, jako například splice(2) o sendfile(2)Místo toho, aby jádro s těmito daty zacházelo jako s jednoduchými stránkami ze souboru, interpretuje je jako šifrovaný text ESP a aplikuje na ně „dešifrování“, čímž upravuje stránky mezipaměti přímo na místě.
V důsledku této chyby jádro vloží proud klíčů AES-GCM do stránky mezipaměti odpovídající souborům pouze pro čteníTo má za následek libovolné zápisy bajtů do mezipaměti stránek. Řízením IV (nonce) a dalších parametrů může neprivilegovaný uživatel tyto zápisy přesně řídit. Výsledkem je deterministický zápisový primitiv, který umožňuje změnit řízený počet bajtů v jakémkoli čitelném souboru, i když jej souborový systém označí jako neměnný nebo pouze pro čtení.
Veřejné ověření konceptu se zaměřuje na upravit binární soubor /usr/bin/su v mezipaměti stránkyVloží 192bajtový (pozičně nezávislý) ELF stub do paměťové kopie daného binárního souboru. Od tohoto okamžiku, při dalším spuštění suStub poběží s root oprávněními, což umožní okamžité lezení bez nutnosti spouštění podmínek nebo jiných dalších triků.
Dočasná zmírnění: jak se chránit, pokud se systém nedá restartovat
Ačkoli se doporučuje Nainstalujte opravené jádro a co nejdříve restartujte počítač.Pro ty, kteří si nemohou dovolit okamžitý restart, byla popsána účinná dočasná opatření. Dobrou zprávou je, že vzhledem k tomu, že Fragnesia využívá stejné základní moduly (esp4, esp6 a volitelně rxrpc) jako Dirty Frag, navrhovaná opatření pro Dirty Frag fungují i pro Fragnesii.
Tato technika se skládá z blokovat načítání zranitelných modulů konfigurací modprobe a pokud jsou již načteny, uvolnit je z paměti. To se provádí zapsáním pravidla v /etc/modprobe.d/ který nahrazuje načítání těchto modulů neškodnými příkazy (jako například /bin/falsePak se člověk vvolá rmmod o nich a tiše ignorují chyby, pokud se nevyskytují.
V distribucích jako CloudLinux generuje navrhovaný příkaz pro Dirty Frag (který funguje stejně dobře i pro Fragnesii) soubor dirtyfrag.conf s pravidly pro esp4, esp6 y rxrpcTaké se pokouší uvolnit aktivní moduly. Pokud jste již tuto ochranu proti Dirty Frag použili, Pro Fragenesis nemusíte dělat nic dalšího. dokud nenainstalujete opravené jádro, protože útočná plocha je také neutralizována.
Je důležité zvážit kompatibilitu: esp4 a esp6 jsou transformace jádra pro IPsecJejich zakázání přeruší tunely IPsec, které závisí na cestě k datům jádra (například strongSwan nebo Libreswan). Doporučuje se nepoužívat toto zmírnění na hostitelích, které ukončují nebo směrují kritický provoz IPsec. Modul rxrpc Jedná se o transport AF_RXRPC, který používají téměř výhradně klienti AFS a na webových serverech nebo v jiných obecných scénářích se vyskytuje jen zřídka.
Obnovení mezipaměti stránky po použití zmírnění dopadu
Dalším často přehlíženým bodem je, že exploit může při spuštění zanechat v paměti něco. upravené kopie legitimních binárních souborů v mezipaměti stránekNejtypičtějším příkladem je /usr/bin/suPokud se útočník rozhodne změnit cíle, mohly by být ovlivněny i jiné privilegované binární soubory.
Některé doporučení proto doporučují, abyste po použití opatření proti zablokování modulů v rámci černé listiny pokračovali vymazat mezipaměť stránek systému vynutit čisté opětovné načtení z disku. Toho lze dosáhnout zápisem do /proc/sys/vm/drop_caches Hodnota, která říká jádru, aby uvolnilo mezipaměť stránek a dentries/inodes. Tato operace odstraňuje pouze čisté stránky, takže je bezpečná v produkčních systémech, i když může způsobit dočasné zvýšení objemu diskových I/O operací při opětovném čtení binárních souborů a dat.
Myšlenka je jednoduchá: pokud by instance Fragnesie již byla spuštěna před zmírněním, Poškozené stránky se zahodí a znovu se použije nezměněná verze na disku.V kombinaci s blacklistem modulů tento krok snižuje riziko, že případná zbytková modifikace v mezipaměti bude stále zneužitelná nebo způsobí nevyzpytatelné chování systému.
Stav oprav a doporučení dodavatelů
Většina hlavních hráčů v linuxovém ekosystému na objev Fragnesie zareagovala rychle. Distribuce jako AlmaLinux a CloudLinux… publikované nebo finalizující opravená jádraSpolečnost Red Hat uvedla, že vyhodnocuje rozsah, v jakém stávající opatření pro zmírnění předchozích zranitelností pokrývají i CVE-2026-46300.
Několik dodavatelů bezpečnostních řešení, včetně společností spojených se společnostmi Google a Microsoft, zveřejnilo analýzy vysvětlující, že Tato zranitelnost umožňuje neoprávněným lokálním útočníkům upravovat obsah souborů pouze pro čtení v mezipaměti stránek. a eskalovat k rootování prostřednictvím deterministického poškození paměti. Wiz například poukazuje na to, že AppArmor a omezení jmenných prostorů neprivilegovaných uživatelů mohou částečně zmírnit dopad tím, že v některých prostředích vyžadují další techniky pro úspěšné zneužití chyby.
Společnost Microsoft zase upozorňuje, že V době jejich prohlášení nebyla pozorována žádná aktivní exploatace ve volné přírodě.Přesto však uživatele naléhavě vyzývají, aby si záplatu nainstalovali, jakmile bude k dispozici, a to pomocí obvyklých aktualizačních nástrojů. Pokud okamžitá instalace záplaty není možná, doporučují použít stejná opatření, která jsou navržena pro Dirty Frag: deaktivaci esp4, esp6 a nepodstatných funkcí souvisejících s IPsec/XFRM, posílení interaktivního lokálního přístupu a posílení monitorování neobvyklé aktivity eskalace oprávnění.
Kontext hrozby: zneužití trhu a únavy z patchů
Objev Fragnesie se odehrává v kontextu, ve kterém Zneužívání zranitelností lokální eskalace v Linuxu získává na hodnotě na černém trhu.Nedávné zprávy popisují aktéra pod pseudonymem „berz0k“, který nabízí zranitelnost s lokální eskalací zero-day v Linuxu za 170 000 dolarů, údajně funkční na více distribucích. Podle ThreatMonu prodejce tvrdí, že zranitelnost je typu TOCTOU (Time-of-Check Time-of-Use), umožňuje stabilní eskalaci bez pádů a používá datovou část ve formě sdílené knihovny..so) nasazeno v /tmp.
To vše podporuje pocit saturace a únava Mnoho administrátorů vyjadřuje svou frustraci: „Další zranitelnost ve stejné kategorii jako Dirty Frag“ nebo „Ještě osm podobných a jsem venku,“ někteří komentují napůl žertem, napůl vážně. Realita je taková, že řada zranitelností Copy Fail, Dirty Frag a Fragnesia nutí systémové týmy přehodnotit svou strategii aktualizace jádra, zejména v prostředích, kde jsou časté restarty velmi nákladné.
V této oblasti získávají na významu řešení pro živé záplatování, jako je KernelCare nebo podobné mechanismy. alternativa k aplikaci kritických oprav bez přerušení služebDistribuce jsou mezitím pod tlakem, aby co nejvíce zkrátily dobu mezi objevením, vydáním opravy a dostupností opraveného balíčku ve stabilních repozitářích.
Fragenesis se nakonec stal případovou studií toho, jak může mít malý kousek logiky ve specializovaném subsystému, jako je XFRM ESP-in-TCP. ničivé důsledky v kombinaci s mechanismy ukládání stránek do mezipaměti a privilegovanými binárními souborySledování bezpečnostních upozornění, e-mailových seznamů, distribučních blogů a komunikačních kanálů, jako je Mattermost nebo X (dříve Twitter), je klíčem k rychlé reakci a minimalizaci doby expozice.
Hrozba, kterou představuje Fragnesia, nespočívá jen v její schopnosti udělit root přístup jediným příkazem, ale také v tom, že demonstruje, do jaké míry jsou moderní linuxová prostředí závislá na... komplexní řetězec důvěry, který sahá od kódu jádra až po nástroje pro aktualizaci a politiky zabezpečeníOchrana zahrnuje kombinaci oficiálních záplat, dobře srozumitelných opatření pro zmírnění rizik, řešení s živými záplatami tam, kde to dává smysl, a jasnou politiku lokální kontroly a monitorování přístupu, aby se selhání tohoto typu nestalo jediným bodem selhání celé infrastruktury.
