Wyszukiwanie w witrynie

Dirty Frag to nowy błąd w Linuksie zagrażający twojemu systemowi - i na razie nie ma łatwej naprawy

Ta podatność jądra Linux sprawia, że obrońcy panikują. Oto które systemy są zagrożone - i co powinieneś zrobić jak najszybciej.

Najważniejsze wnioski z Linux-Terminal.com

  • Jedno naruszone konto może sprawić, że Dirty Frag ujawni Twój system.
  • Żadna poprawka nie może jeszcze chronić cię przed wszystkimi możliwymi atakami.
  • Aby pozostać bezpiecznym, będziesz musiał zablokować kilka usług, w tym VPN-y.

Linux miał kilka trudnych tygodni. Najpierw badacze AI odkryli lukę bezpieczeństwa Copy Fail. W tym przypadku poprawki zostały szybko przygotowane i rozdystrybuowane. Nie mieliśmy tyle szczęścia w przypadku niedawno ujawnionej wady jądra Linux, zwanej Dirty Frag, która również, jak się wydaje, została odkryta przy pomocy AI, ale poprawki są nadal opracowywane.

Badacz bezpieczeństwa Hyunwoo Kim, który ujawnił problem 7 maja, opisuje Dirty Frag jako rozszerzenie tej samej klasy błędów co wcześniejsze, głośne luki w jądrze Linux, Dirty Pipe i Copy Fail z 2022 roku. Podobnie jak te luki, Dirty Frag wykorzystuje ścieżki kodu jądra, które zapisują do stron pamięci dostępnych dla nieuprzywilejowanej przestrzeni użytkownika, ale celuje w inną strukturę: pole fragmentu w buforach sieciowych sk_buff.

Kim poinformował opiekunów jądra Linuksa o tej podatności pod koniec kwietnia. Niestety, skoordynowane procesy ujawniania i łatania szybko wymknęły się spod kontroli. 7 maja, podczas gdy dystrybucje wciąż wysyłały poprawki dotyczące powiązanej luki Copy Fail, szczegółowe techniczne informacje o Dirty Frag oraz działający exploit proof-of-concept dla komponentu xfrm-ESP pojawiły się w Internecie po złamaniu embarga przez niezwiązaną stronę trzecią. Teraz wszyscy mamy kłopoty.

Co to jest Dirty Frag?

Dirty Frag to lokalny łańcuch podatności eskalacji uprawnień, który wykorzystuje błędy logiczne w stosach sieciowych i uwierzytelniania Linuksa do uszkadzania danych w pamięci podręcznej stron jądra, umożliwiając nieuprzywilejowanemu kontu eskalację do roota.

Działa poprzez ukierunkowanie na dwa oddzielne podsystemy sieciowe: ścieżkę IPsec Encapsulating Security Payload, czyli xfrm-ESP, śledzoną jako CVE-2026-43284, oraz ścieżkę uwierzytelniania RxRPC, śledzoną jako CVE-2026-43500.

Łącząc te luki, napastnicy mogą modyfikować pliki systemowe, które powinny być tylko do odczytu i wspierane przez pamięć podręczną stron w pamięci, a następnie uruchamiać je z podwyższonymi uprawnieniami, nie dotykając przy tym w ogóle systemu plików.

Po wejściu, Dirty Frag wykorzystuje „prymitywy zapisu do pamięci podręcznej stron” w szybkich ścieżkach jądra stosowanych do szyfrowanej sieci i uwierzytelniania systemu plików zdalnych. Poprzez staranny wybór celu, atakujący może nadpisać fragmenty pozornie tylko do odczytu plików w pamięci, takich jak pliki wykonywalne lub pliki konfiguracyjne, a następnie wykonać lub ponownie załadować zmodyfikowane pliki jako root.

Stamtąd nie ma ograniczeń, a atakujący mogą robić praktycznie wszystko, co chcą.

Dobrą wiadomością -- tak, są pewne -- jest to, że atakujący zazwyczaj potrzebują istniejącego punktu zaczepienia, takiego jak nieuprzywilejowana powłoka przez SSH, powłoka internetowa lub skompromitowany kontener, aby użyć Dirty Frag do eskalacji.

Z drugiej strony, ponieważ podstawowy błąd jest błędem logicznym, a nie wyścigiem zależnym od czasu, eksploatacja jest niezwykle niezawodna i nie powoduje awarii jądra, gdy zawiedzie. Innymi słowy, ktoś może atakować Twój system Linux wielokrotnie, aż się włamie, a Ty nigdy się o tym nie dowiesz.

Obrońcy starali się ocenić narażenie

Nie minęło dużo czasu, zanim napastnicy zwrócili na to uwagę. Publiczny kod exploit został szybko skopiowany na blogi dotyczące bezpieczeństwa, repozytoria GitHub i fora dyskusyjne, pozostawiając obrońców w pośpiechu przy ocenie ryzyka.

Według zespołu ds. analiz zagrożeń Microsoftu, Dirty Frag został już zaobserwowany w działaniu. Hakerzy używają go, aby podnieść ograniczone punkty dostępu w systemach Linux do pełnej kontroli root nad serwerami, obciążeniami w chmurze i kontenerami.

Więc, kto jest zagrożony?

Przykro mi to powiedzieć, ale praktycznie każdy, kto korzysta z dowolnej dystrybucji Linuksa, jest tym dotknięty. Dirty Frag wpływa na szeroki zakres środowisk Linuksa, od serwerów bare-metal i dystrybucji korporacyjnych po hosty kontenerów i instancje w chmurze. Obejmuje to zarówno obecne, jak i wcześniejsze wydania Ubuntu, Red Hat Enterprise Linux, CentOS Stream, AlmaLinux, Fedory i openSUSE Tumbleweed, między innymi.

Canonical, firma macierzysta Ubuntu, ostrzega: „W wdrożeniach kontenerów, które mogą wykonywać dowolne obciążenia stron trzecich, podatność może dodatkowo ułatwiać scenariusze ucieczki z kontenera, oprócz lokalnego eskalowania uprawnień na hoście.” To największy koszmar obliczeń w chmurze natywnej.

Na szczęście „Dowód koncepcji exploitu nie został jeszcze opublikowany dla ucieczki z kontenera.”

Jak dotąd. Z tego, co nam wiadomo. Mamy nadzieję.

Podczas gdy wielu z was świętowało Dzień Matki, społeczność jądra Linux spędziła weekend na rozwiązywaniu problemu. CVE-2026-43284, komponent xfrm-ESP, otrzymał poprawkę w głównym jądrze 8 maja, mniej niż 24 godziny po ujawnieniu publicznym, choć ta poprawka teraz musi zostać przeniesiona do wielu obsługiwanych stabilnych drzew.

Błąd RxRPC, oznaczony jako CVE-2026-43500, pozostaje w fazie oceny. Na moment pisania tego tekstu nie opracowano jeszcze ostatecznej poprawki od dostawcy. Dostawcy Linuksa wydają własne ostrzeżenia i aktualizacje w miarę wprowadzania zmian od dostawcy nadrzędnego.

Co powinieneś zrobić natychmiast

Dystrybutorzy Linuksa, dostawcy usług chmurowych i hostingowych zachęcają klientów do aktualizacji pakietów jądra do najnowszych wersji, gdy tylko będą dostępne. Zachęcają również administratorów do umieszczenia na czarnej liście modułów esp4, esp6 i rxrpc jako rozwiązania tymczasowego. Należy jednak pamiętać, że jeśli to zrobisz, prawdopodobnie zakłócisz działanie VPN-ów IPsec lub obciążeń opartych na AFS. Z drugiej strony, będziesz w ten sposób bezpieczniejszy.

Dystrybucje Linuksa związane z Debianem i Ubuntu

Canonical sugeruje następujące kroki. Zadziałają one na Ubuntu i powiązanych dystrybucjach Linuksa, takich jak Mint.

Krok 1. Zablokuj moduły

  • Zablokuj moduły, tworząc plik /etc/modprobe.d/dirty-frag.conf:
  • echo "install esp4 /bin/false" | sudo tee /etc/modprobe.d/dirty-frag.conf
  • echo "install esp6 /bin/false" | sudo tee -a /etc/modprobe.d/dirty-frag.conf
  • echo "install rxrpc /bin/false" | sudo tee -a /etc/modprobe.d/dirty-frag.conf
  • Odtwórz obrazy initramfs, aby zapobiec ładowaniu modułów podczas wczesnego rozruchu:
  • sudo update-initramfs -u -k all

Krok 2. Wyładuj moduły

  • Odładuj moduły, jeśli są już załadowane:
  • sudo rmmod esp4 esp6 rxrpc 2>/dev/null


Krok 3. Potwierdź, że moduły nie są załadowane

  • Sprawdź, czy moduły są nadal załadowane:
  • grep -qE '^(esp4|esp6|rxrpc) ' /proc/modules && echo "Załadowano moduły, które mają wpływ" || echo "Nie załadowano modułów, które mają wpływ"
  • Jeśli poprzednia akcja wskazuje, że moduły nie są załadowane, nie są wymagane żadne dalsze działania. Jednak wyładowanie modułów może nie być możliwe, jeśli aplikacje już z nich korzystają. W takich przypadkach ponowne uruchomienie systemu wymusi ich blokadę, ale wpłynie to na aplikacje:
  • sudo reboot
  • Gdy aktualizacje jądra będą dostępne i zainstalowane, można usunąć obejście:
  • sudo rm /etc/modprobe.d/dirty-frag.conf
  • sudo update-initramfs -u -k all

Red Hat i powiązane dystrybucje Linuksa

Red Hat sugeruje, abyś uruchomił:

  • printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf rmmod esp4 esp6 rxrpc 2>/dev/null; true

To podejście, które będzie wymagało wyłączenia programów opartych na IPsec i AFS, będzie również działać na CentOS, Rocky Linux, AlmaLinux i innych dystrybucjach Linuksa związanych z RHEL.

Poprawki SUSE Linux

SUSE ma podobne rozwiązanie z tym samym ostrzeżeniem dotyczącym IPsec i AFS.

Utwórz :

/etc/modprobe.d/10-copyfail2-fix.conf w celu naprawy przy użyciu następujących linii:

  • czarna lista esp4
  • czarna lista esp6
  • czarna lista rxrpc
  • zainstaluj esp4 /bin/false
  • zainstaluj esp6 /bin/false
  • zainstaluj rxrpc /bin/false

Szczegóły różnią się w zależności od dystrybucji, ale tymczasowa poprawka jest zawsze taka sama: Użyj pliku konfiguracyjnego modprobe, aby wyłączyć potencjalnie zagrożone programy, dopóki poprawki jądra nie będą dostępne i zainstalowane.

Gdy to zostanie zrobione, możesz usunąć awaryjne poprawki i wrócić do normalnej pracy.

Dopóki pełne poprawki jądra nie zostaną szeroko wdrożone, a systemy nie zostaną uruchomione ponownie, powinieneś zabezpieczyć swój system jak najszybciej. W końcu, jeśli masz choćby jedno naruszone konto użytkownika, atakujący może użyć Dirty Frag, aby całkowicie przejąć kontrolę nad Twoją infrastrukturą.

Teraz, jeśli pozwolisz, muszę naprawić mnóstwo serwerów i stacji roboczych.