La comunità Linux si trova ad affrontare una nuova vulnerabilità critica dell'escalation dei privilegi locali Soprannominato Dirty Frag, è stato scoperto appena una settimana dopo la sentenza Errore di copiaQuesto nuovo problema di sicurezza, spiegato in dettaglio su GitHubCiò consente a qualsiasi utente locale senza privilegi di ottenere l'accesso root sulla maggior parte delle distribuzioni Linux attuali, e la cosa più preoccupante è che, per ora, Non esiste una patch ufficiale né un identificativo CVE assegnato..
Dirty Frag è stato rivelato in anticipo rispetto al programma in seguito al violazione di un embargo di sicurezzaUna terza parte, non coinvolta nella ricerca, ha fatto trapelare alcune informazioni, spingendo il ricercatore a pubblicare dettagli tecnici e una prova di concetto prima che i manutentori del kernel e le distribuzioni avessero preparato le patch. Ciò mette gli amministratori di sistema in una situazione precaria: una vulnerabilità facilmente sfruttabile senza una soluzione definitiva ancora disponibile.
Cos'è Dirty Frag e perché sta destando tanta preoccupazione?
Dirty Frag è stato presentato come il successore diretto di Copy Fail e appartiene alla stessa famiglia di vulnerabilità di Dirty Pipe. Tutte queste vulnerabilità condividono un principio fondamentale comune: sfruttare gli errori nella gestione della cache di pagina del kernelCioè, nella copia in memoria che Linux mantiene dei file per migliorare le prestazioni.
In termini pratici, l'attacco raggiunge questo obiettivo il kernel stesso sovrascrive il contenuto nella cache delle pagine di un file senza che l'attaccante abbia i permessi di scrittura su quel file. Questa sovrascrittura controllata diventa una primitiva di scrittura arbitraria che, se sfruttata correttamente, consente l'escalation dei privilegi fino a raggiungere il livello root con una singola esecuzione dell'exploit.
Secondo il ricercatore sudcoreano Hyunwoo Kim (noto come @v4bel), Dirty Frag non è un semplice bug isolato, ma un classe di vulnerabilità logica che espande la stessa famiglia a cui appartengono Dirty Pipe e Copy Fail. Non dipende dal tempo o dalle condizioni di gara, il che significa che l'exploit è deterministico, non causa crash del kernel in caso di errore e ha un tasso di successo molto elevato nei sistemi vulnerabili.
Due vulnerabilità concatenate per ottenere l'accesso root.
Una delle caratteristiche principali di Dirty Frag è che non si basa su un singolo fallimento, ma piuttosto Questa vulnerabilità collega tra loro due diverse vulnerabilità del kernel Linux. per realizzare un attacco pressoché universale ai sistemi moderni:
- Scrittura della cache di pagina xfrm-ESP – Vulnerabilità nello stack di rete IPsec/ESP (funzione esp_input()), introdotta in un Commit di gennaio 2017 (cac2661c53f3). Consente un memoria da 4 byte direttamente nella cache della pagina, in una posizione e con un valore controllati dall'attaccante.
- Scrittura nella cache di pagina RxRPC – Errore nel sottosistema RxRPC/rxkad (funzione rxkad_verify_packet_1()), presente da Giugno 2023Esegue una scrittura di 8 byte nella cache di pagina, sfruttando il processo di decrittazione, senza richiedere privilegi per creare namespace e la chiave può essere forza bruta completamente dallo spazio utente.
La prima vulnerabilità si trova nel sottosistema IPsec (xfrm) e viene sfruttata quando un buffer di socket non lineare con pagine giuntate (pagine nella cache delle pagine associate tramite operazioni come splice(2) o sendfile(2)) elude la verifica della copia scrivendo (skb_cow_data()In tale scenario, il percorso di decrittazione rapida ESP scrive direttamente su quelle pagine, aprendo la strada alla modifica dei dati a cui fa riferimento un processo non privilegiato.
Nel caso di RxRPC, il percorso di decrittazione applica una decrittazione in loco alle pagine nella cache delle pagine Anche questi sono "ancorati" dall'utente, ma senza richiedere permessi speciali come la creazione di namespace. L'attaccante prepara un blocco crittografato nello spazio utente in modo tale che, quando decrittografato dal kernel, Il risultato è esattamente la scrittura desiderata nella memoria.
Perché Dirty Frag influenza quasi tutte le distribuzioni
Nessuna delle due vulnerabilità, prese separatamente, copre tutti gli scenari. L'exploit xfrm-ESP richiede che un utente non privilegiato sia in grado di creare spazi dei nomi utenteQuesto è un aspetto che viene bloccato da AppArmor in alcune configurazioni di Ubuntu. Al contrario, l'exploit RxRPC non necessita di namespace, mentre il modulo sì. rxrpc.ko non è incluso per impostazione predefinita nella maggior parte delle distribuzioni aziendali, come ad esempio alcune versioni di RHEL.
La chiave di Dirty Frag è in utilizzare entrambi i percorsi di sfruttamento in modo complementareNei sistemi in cui sono consentiti i namespace utente, viene attivata per prima la variante ESP; in ambienti come molte installazioni di Ubuntu, dove la creazione di namespace è limitata ma il modulo rxrpc viene caricato per impostazione predefinita, entra in gioco la variante RxRPC. Pertanto, I “punti ciechi” di una via d’attacco sono coperti dall’altraottenendo uno sfruttamento praticamente universale.
Tra le distribuzioni confermate come interessate ci sono Ubuntu 24.04.4diverse versioni di RHEL 10.1, CentOS Stream 10, AlmaLinux 10, Fedora 44 e openSUSE TumbleweedQuesto vale anche per altre piattaforme diffuse come Arch Linux o gli ambienti WSL2 su Windows. In pratica, ciò significa che una grande percentuale di server e desktop Linux in uso potrebbe essere vulnerabile se presenta i moduli e le configurazioni in questione.
Relazione con Copy Fail e altri fallimenti recenti
Dirty Frag arriva subito dopo Copy Fail (CVE-2026-31431), che ha già forzato accelerare l'applicazione di patch su più distribuzioni Linux di fronte a una vulnerabilità di escalation dei privilegi che viene attivamente sfruttata. Entrambi condividono l'idea di abusare della cache di pagina e dei percorsi I/O veloci, ma Dirty Frag ha un vantaggio preoccupante: Funziona persino sui sistemi in cui sono state applicate misure di mitigazione degli errori di copia., come ad esempio il blocco del modulo algif_aead o politiche di Blocco del kernel.
Il ricercatore sottolinea che Dirty Frag può essere attivato indipendentemente dal fatto che il modulo algif_aead sia abilitato o bloccatoIn altre parole, anche se un server di produzione ha già implementato le raccomandazioni relative a Copy Fail, rimane vulnerabile a questo nuovo exploit finché il kernel non viene aggiornato con le patch specifiche o non vengono applicate le misure di mitigazione temporanee.
Impatto sugli ambienti aziendali
Nel contesto in cui Linux è ampiamente utilizzato nei data center, nei fornitori di servizi cloud e nelle agenzie governative.Dirty Frag rappresenta un alto rischio di escalation laterale all'interno delle reti interne. Un attaccante che ottiene l'accesso normale dell'utente (ad esempio, tramite credenziali rubate, un'applicazione web vulnerabile o un servizio configurato in modo errato) Potrei ottenere immediatamente l'accesso root locale e senza bisogno di sfruttare condizioni complesse.
Per le organizzazioni che gestiscono servizi mission-critical su distribuzioni come Ubuntu, RHEL, CentOS Stream, Fedora o AlmaLinux, il problema non è limitato a un singolo fornitore: la vulnerabilità Risiede nel kernel Linux stesso.Alcuni progetti, come AlmaLinux, hanno già iniziato a lavorare su patch preliminari per i testTuttavia, alla data di pubblicazione, non esiste ancora una soluzione ufficiale ampiamente diffusa.
Questo scenario costringe molti team di sicurezza e di sistemi ad implementare misure provvisorieEsamina gli inventari dei server e delle workstation e dai priorità agli ambienti con utenti che dispongono di shell interattive o della capacità di eseguire binari sul sistema e di credenziali sicure (ad esempio, cambia la password di root), poiché è proprio questo il vettore che Dirty Frag sfrutta.
Dove si trova l'errore del kernel?
A livello tecnico, Dirty Frag risiede nel percorsi di decrittazione rapida in loco dai moduli di rete esp4, esp6 e rxrpc del kernel. Quando un pacchetto di rete arriva incapsulato in ESP o tramite RxRPC, il percorso ricevente tenta di decifrarlo senza copie aggiuntive dei dati per migliorare le prestazioni.
Il problema sorge quando tali pacchetti contengono frammenti di memoria paginata che non sono di proprietà esclusiva del kernel, come le pagine nella cache delle pagine associate dalle operazioni di splice o MSG_SPLICE_PAGESInvece di lavorare su un buffer privato, il kernel scrivi direttamente su quelle pagine condiviseche sono ancora referenziati da un processo utente non privilegiato. Ciò espone il testo in chiaro dei dati o, peggio, ne consente la deliberata corruzione.
Secondo le analisi pubblicate su mailing list di sicurezza come oss-security e netdevIl commit di gennaio 2017 che ha introdotto la vulnerabilità xfrm-ESP è stato anche la radice di un precedente buffer overflow (CVE-2022-27666), suggerendo che La stessa modifica al codice ha generato diversi problemi di sicurezza in questi anni.
Assenza di patch e violazione dell'embargo
Dirty Frag è stato segnalato privatamente al Manutentori del kernel Linux il 30 aprile 2026Il piano originale prevedeva di mantenere le informazioni sotto embargo fino a metà maggio per dare il tempo di preparare le patch, coordinarne il rilascio con le distribuzioni e ridurre al minimo il periodo di esposizione.
Tuttavia, una terza parte non correlata al processo di coordinamento ha pubblicato Dettagli sull'exploit ESP del 7 maggiorompere l'embargo. Di fronte a questa situazione, il ricercatore ha deciso di rendere pubbliche le informazioni complete, tra cui un Prova di concetto funzionale in grado di ottenere i privilegi di root con un singolo comandoIl risultato è che la maggior parte delle distribuzioni e il resto del mondo sono stati costretti a reagire in fretta, senza avere soluzioni pronte.
Al momento della divulgazione, Non c'erano patch ufficiali nell'albero del kernel principale Inoltre, non esistono versioni aggiornate distribuite dai principali fornitori. Alcuni provider, come AlmaLinux, hanno rilasciato patch preliminari per i test interni, ma gli amministratori si affidano ancora principalmente a misure di mitigazione a livello di configurazione.
Come mitigare Dirty Frag in attesa delle patch
In assenza di aggiornamenti immediati, la raccomandazione generale della comunità della sicurezza è bloccare o disabilitare i moduli del kernel coinvolti nella sentenza: esp4, esp6 y rxrpcCiò impedisce il caricamento o l'utilizzo di percorsi vulnerabili, riducendo drasticamente la superficie di attacco.
Per la maggior parte dei sistemi desktop e dei server generici, questi moduli non sono essenzialipoiché sono principalmente correlati alla funzionalità IPsec (crittografia del traffico di rete) e a RxRPC, un meccanismo di chiamata di procedura remota meno comune nelle implementazioni standard. Tuttavia, negli ambienti che utilizzano VPN IPsec basate su ESP o altri servizi specifici; la loro disattivazione potrebbe influire sulla connettività e i rischi dovrebbero essere valutati.
Un metodo rapido e automatizzato per applicare questa misura di mitigazione consiste nel creare una configurazione di modprobe che forzi la sostituzione dei moduli vulnerabili con un binario innocuo e li disinstalli se erano già attivi. Diverse fonti di sicurezza hanno condiviso una riga di comando simile alla seguente:
sudo sh -c "printf 'install esp4 /bin/false
install esp6 /bin/false
install rxrpc /bin/false
' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"Questo comando crea il file /etc/modprobe.d/dirtyfrag.conf con regole che impediscono i moduli esp4, esp6 y rxrpc Ricaricali e poi prova a scaricarli se erano già in memoria. Per la stragrande maggioranza dei server web, dei database o delle comuni applicazioni aziendali nelle infrastrutture, Non dovrebbe causare interruzioniTuttavia, si raccomanda sempre di effettuare prima dei test in ambienti di pre-produzione.
Prova di fattibilità e rischio di sfruttamento nel mondo reale
Insieme al rilascio pubblico di Dirty Frag, il ricercatore ha pubblicato un repository con il codice di prova del concettoCiò consente di compilare ed eseguire l'exploit con un paio di comandi. Il binario risultante concatena i due percorsi di attacco (ESP e RxRPC) e, sui sistemi vulnerabili, eleva immediatamente l'utente corrente a root.
Alcune fonti tecniche che hanno analizzato il guasto indicano di essere state in grado di riprodurre la vulnerabilità in diverse distribuzioniCiò include installazioni aggiornate di Arch Linux e sistemi con l'ultimo kernel principale. È stato persino osservato che ambienti come WSL2, sempre più utilizzati dagli sviluppatori, presentano lo stesso comportamento se il kernel sottostante soddisfa le condizioni necessarie.
La combinazione di un exploit pubblico di facile utilizzo e di un finestra senza patch disponibili Ciò aumenta la probabilità che gruppi malintenzionati tentino di integrare Dirty Frag nelle loro catene di attacco. Per molte organizzazioni, questo significa rivedere urgentemente i propri controlli di accesso, rafforzare la segmentazione della rete interna e intensificare il monitoraggio delle attività sospette sui server Linux.
Distribuzione delle risposte e prossimi passi
Sebbene l'annuncio abbia colto di sorpresa gran parte dell'ecosistema, diversi fornitori di sistemi Linux hanno iniziato a lavorare su patch specifiche per i percorsi di decrittazione interessatiIl ricercatore stesso ha inviato la correzione per la parte RxRPC alla mailing list. netdev Entro la fine di aprile, e si prevede che le soluzioni saranno integrate nei rami stabili del kernel nei prossimi giorni o settimane.
Nel caso di distribuzioni con una forte presenza, come Ubuntu, Debian, RHEL, SUSE, openSUSE, Fedora o AlmaLinuxL'attenzione si concentra sulla distribuzione di aggiornamenti del kernel adeguatamente testati attraverso i consueti canali di sicurezza. Nel frattempo, si raccomanda agli amministratori e ai responsabili IT di monitorare attentamente gli avvisi di sicurezza Applica gli aggiornamenti non appena sono disponibili nei repository ufficiali.
La recente esperienza con Dirty Pipe, Copy Fail e ora Dirty Frag evidenzia la necessità di Migliorare le revisioni di sicurezza nelle parti critiche del kernelsoprattutto in aree ad alte prestazioni come le reti veloci e i percorsi di I/O, dove ottimizzazioni aggressive possono introdurre errori sottili ma molto pericolosi.
La comparsa di Dirty Frag, insieme ad altri bug recenti, evidenzia ancora una volta l'importanza della manutenzione una politica di aggiornamento agile e controlli di difesa multilivello su qualsiasi infrastruttura Linux. Sebbene non esistano ancora patch definitive per questa vulnerabilità, disabilitare i moduli coinvolti, monitorare i sistemi e prepararsi a implementare rapidamente futuri aggiornamenti del kernel è diventato, per ora, il miglior piano di emergenza per minimizzare l'impatto di questo nuovo vettore di attacco.
