Au apărut detalii despre o nouă vulnerabilitate de escaladare a privilegiilor locale (local privilege escalation – LPE) fără rezolvare, care afectează kernelul Linux.
Denumită Dirty Frag, aceasta a fost descrisă ca un succesor al Copy Fail (CVE-2026-31431, scor CVSS: 7,8), o altă vulnerabilitate LPE dezvăluită recent, care afectează kernelul Linux și care este exploatată activ în mediul real, potrivit BleepingComputer. Vulnerabilitatea a fost raportată dezvoltatorilor Linux pe 30 aprilie 2026.
Cercetătorul în securitate Hyunwoo Kim, care a dezvăluit-o și a publicat un exploit proof of concept (PoC), afirmă că această escaladare a privilegiilor locale a fost introdusă în urmă cu aproximativ nouă ani în interfața algoritmului criptografic al kernelului Linux.
Kernelul Linux este componenta centrală (nucleul) a unui sistem de operare, acționând ca un intermediar esențial între software-ul de aplicație și hardware-ul calculatorului. Creat de Linus Torvalds în 1991, acesta gestionează resursele sistemului, cum ar fi procesorul, memoria și dispozitivele periferice.
Dirty Frag funcționează prin combinarea a două vulnerabilități separate ale kernelului, pentru a modifica fișierele de sistem protejate din memorie fără autorizare și a obține escaladarea privilegiilor.
De asemenea, deși Dirty Frag aparține aceleiași clase ca vulnerabilitățile Linux Dirty Pipe și Copy Fail, aceasta exploatează câmpul fragment al unei structuri de date diferite a kernelului.
„La fel ca în cazul vulnerabilității Copy Fail anterioare, Dirty Frag permite, de asemenea, escaladarea imediată a privilegiilor de root (administrator) pe toate distribuțiile majore și lansează două vulnerabilități separate”, a spus Kim.
„Dirty Frag este un caz care extinde clasa de bug-uri din care fac parte Dirty Pipe și Copy Fail. Deoarece este un bug logic determinist, care nu depinde de o fereastră de timp, nu este necesară o anumită condiție, kernelul nu intră în panică atunci când exploitul eșuează, iar rata de succes este foarte mare.”
Dirty Frag funcționează prin combinarea a două defecte care datează dintr-o funcție introdusă în ianuarie 2017, potrivit lui Kim, în timp ce a doua vulnerabilitate afectează o funcționalitate introdusă în 2023. Împreună, cele două bug-uri ar permite utilizatorilor locali fără privilegii să suprascrie fișiere protejate din memorie și să-și croiască drumul către root (administrator).
Această escaladare a privilegiilor kernelului afectează o gamă largă de distribuții Linux, inclusiv Ubuntu, Red Hat Enterprise Linux, CentOS Stream, AlmaLinux, openSUSE Tumbleweed și Fedora, care nu au primit încă patch-uri.
Kim a publicat documentația completă a Dirty Frag și un exploit PoC cu acordul administratorilor distribuțiilor Linux, după ce embargoul asupra dezvăluirii publice complete a fost încălcat pe 7 mai 2026, când o terță parte, neafiliată, a publicat independent exploitul.
„Deoarece embargoul a fost încălcat, în prezent nu există niciun patch sau CVE. După consultarea cu administratorii de pe [email protected] și la cererea acestora, acest document Dirty Frag este publicat”, a spus Kim.
Pentru a-și securiza sistemele împotriva atacurilor, utilizatorii Linux pot folosi o comandă pentru a elimina modulele vulnerabile ale kernelului, comandă care totuși va întrerupe funcționarea unor componente. Soluția temporară a fost detaliată de cercetător pe GitHub.
Această nouă dezvăluire de tip zero-day vine în contextul în care administratorii distribuțiilor Linux încă lansează patch-uri pentru vulnerabilitatea Copy Fail, vulnerabilitate de escaladare a privilegiilor de root exploatată în prezent în mod activ în atacuri.
Cele două vulnerabilități de scriere în memoria cache a paginilor, legate de Dirty Frag, sunt acum urmărite sub următoarele ID-uri CVE: celei xfrm-ESP i s-a atribuit CVE-2026-43284, iar celei RxRPC i s-a atribuit CVE-2026-43500.
Te-ar putea interesa și: Parlamentarii germani sunt sfătuiți să renunțe la Signal în favoarea aplicației Wire din motive de securitate
About the Author
