Dirty Frag: Нова невидима загроза, яка перевершує CopyFail у Linux

Брудний фрагмент вийшов 7 травня, і це був хаос: публічний PoC, жодних патчів, гарантований root-доступ.

Ядро отримує два перехресних вогневих удари, CVE-2026-43284 та CVE-2026-43500, і невидима загроза вже перевершує CopyFail.

Я бачу, як боти масштабують VPS, і ніхто навіть не мав часу перекомпілювати чисте ядро!

Брудний Фраг: рут-експлойт, який сколихнув весь… Безпека Linux

Дослідник Хьонву Кім пов’язує дві вразливості в IPsec ESP та RxRPC, що існують з 2017 та 2023 років.

Проста команда користувацького простору пошкоджує кеш сторінок; ескалація привілеїв має майже 100% успіху.

Немає умов гонки, отже, немає сумнівних журналів: недолік системи залишається поза увагою.

Якексплуатації уникає будь-яких основних сповіщень

Функція splice() передає сторінку пам’яті до ESP, який передає її до RxRPC; ці модулі вважають, що вони розшифровують легітимний пакет.

Потім ядро ​​записує за межі очікуваної області та перепризначає дозволи: коренева оболонка негайно згортається.

Кім попереджає: «7 травня жодного CVE не існувало, тому я все відпустила». От і все.

Чому Dirty Frag перевершує інших CopyFail для адмінів

CopyFail вимагав точного часу та половину випадків призводив до збоїв; тут немає потреби грати в російську рулетку.

Експлойт компілюється за 20 секунд, працює на Debian, Arch, RHEL, SUSE, навіть на тому NAS, захованому у вашій шафі.

Ще гірший час: ми все ще оновлювали патчі для CopyFail, коли з’явилася ця новина. вразливість прорвався через репозиторії GitHub.

Кібератаку вже було виявлено в мережах GLPI.

Microsoft Threat Intel зазначає групу, яка запускає бінарний файл через ssh, отримує root-доступ, а потім реалізує веб-оболонку на GLPI.

Бічний поворот націлений на резервні копії, змонтовані через NFS: відновлення порушено, привіт, подвійна проблема.

Він залишиться рядком у SIEM, якщо ніхто не ввімкне аудит викликів splice().

Швидкі дії для Захист Linux

Перезавантажте ядро, скомпільоване з вимкненим CONFIG_XFRM_ESN, та вимкніть RxRPC у systemd-modprobe.d, так, це негарно, але це виправляє проблему.

Знайдіть непідписані бінарні файли у /tmp: поточна кампанія любить це одноразове місце розташування.

Слідкуйте за оновленнями; патч має вийти незабаром через stable-kernel, але я б не став на нього свій GPG-ключ.

Джерело: www.clubic.com