CVE-2026-46300 (Fragnesia) kernel vulnerability: Non-impact statement - : Central de Documentação do Alibaba Cloud

Detalhes da vulnerabilidade

Em 13 de maio de 2026, pesquisadores de segurança divulgaram publicamente uma vulnerabilidade de escalonamento local de privilégios no kernel Linux, a CVE-2026-46300, com o codinome Fragnesia. Essa vulnerabilidade pertence a uma classe de falhas de escrita em cache de páginas associadas ao mecanismo de cópia zero splice(). Trata-se de uma extensão do mesmo padrão observado em Dirty Pipe (CVE-2022-0847), Copy Fail (CVE-2026-31431) e Dirty Frag (CVE-2026-43284 / CVE-2026-43500).

Princípio técnico

A causa raiz da vulnerabilidade Fragnesia é uma falha na função skb_try_coalesce(), localizada no stack de rede principal do kernel Linux durante o processamento de pacotes ESP-in-TCP (XFRM ESP over TCP). Um atacante pode explorar essa falha carregando os módulos de kernel esp4, esp6 ou rxrpc e criando um caminho especial de pacotes de rede. Isso aciona a falha e permite gravar um keystream XOR em um cache de páginas somente leitura. Consequentemente, o conteúdo de arquivos somente leitura no sistema de arquivos é modificado, resultando em escalonamento local de privilégios para root.

Em comparação com a Dirty Frag, o exploit da Fragnesia é mais confiável e executa escritas arbitrárias no cache de páginas sem exigir uma condição de corrida.

Módulos de kernel afetados

net/core/skbuff.c — Função skb_try_coalesce()
net/ipv4/esp4.c — Processamento do protocolo ESP IPv4
net/ipv6/esp6.c — Processamento do protocolo ESP IPv6
net/rxrpc/ — Stack de protocolo RxRPC

Impacto no upstream

A Fragnesia afeta versões do kernel Linux lançadas desde 2017. Como a função skb_try_coalesce() é central e de uso geral no subsistema de rede do kernel, e o suporte a ESP/IPsec vem ativado por padrão na maioria das configurações, a vulnerabilidade é generalizada. Ela atinge diversas distribuições Linux principais e suas várias versões de kernel mainline.

As versões de kernel upstream confirmadas como afetadas abrangem múltiplas ramificações de Long Term Support (LTS), incluindo as séries 4.x, 5.x e 6.x. Visto que a função vulnerável reside no stack de rede principal do kernel, qualquer distribuição Linux que utilize um kernel lançado após 2017 e tenha o recurso ESP-in-TCP ativado está potencialmente afetada.

Status atual nos bancos de dados: Até 14 de maio de 2026, a CVE-2026-46300 ainda não foi listada oficialmente pelo NVD (National Vulnerability Database), MITRE CVE AWG, Debian Security Tracker ou Amazon Linux ALAS. A pontuação CVSS correspondente e a classificação CWE estão pendentes de publicação por esses órgãos oficiais.

Status de impacto no Alibaba Cloud Linux

Após avaliação da equipe de segurança do kernel do Alibaba Cloud Linux, constatou-se que nenhuma versão do Alibaba Cloud Linux é afetada pela CVE-2026-46300.

Versão do Alibaba Cloud Linux	Versão mais recente do kernel	Status de impacto	Base
Alibaba Cloud Linux 2	4.19.91-28.5.al7	Não afetado	`CONFIG_INET_ESPINTCP` is not set; `CONFIG_INET6_ESPINTCP` is not set
Alibaba Cloud Linux 3	5.10.134-19.3.1.al8	Não afetado	`CONFIG_INET_ESPINTCP` is not set; `CONFIG_INET6_ESPINTCP` is not set
Alibaba Cloud Linux 4	6.6.102-5.3.1.alnx4	Não afetado	`CONFIG_INET_ESPINTCP` is not set; `CONFIG_INET6_ESPINTCP` is not set

Justificativa de não impacto

A cadeia de exploração da vulnerabilidade Fragnesia depende do recurso ESP-in-TCP, controlado pelas opções de configuração do kernel CONFIG_INET_ESPINTCP (IPv4) e CONFIG_INET6_ESPINTCP (IPv6). O ANCK (Alibaba Cloud Linux Kernel), um kernel personalizado de nível empresarial usado em todos os produtos Alibaba Cloud Linux, não compila essas duas opções de configuração por padrão. Portanto, um atacante não consegue acionar a vulnerabilidade em skb_try_coalesce() pelo caminho ESP-in-TCP, o que interrompe a cadeia de exploração no ambiente Alibaba Cloud Linux.

Verifique isso executando o seguinte comando:

zgrep -E "CONFIG_INET_ESPINTCP|CONFIG_INET6_ESPINTCP" /proc/config.gz

A saída esperada é:

# CONFIG_INET_ESPINTCP is not set
# CONFIG_INET6_ESPINTCP is not set

Plano de acompanhamento

Embora o Alibaba Cloud Linux não seja afetado por essa vulnerabilidade, a equipe de segurança do kernel do Alibaba Cloud Linux continuará monitorando a CVE-2026-46300:

Rastreamento de patches: Monitoraremos atentamente a comunidade do kernel Linux upstream e as ramificações estáveis em busca de correções para esta CVE.
Avaliação proativa: Mesmo sem impacto atual, a equipe do ANCK avaliará os patches upstream e incorporará hardening de segurança relevante em futuras atualizações do kernel para proteger contra possíveis ataques variantes.
Monitoramento de inteligência: Continuaremos acompanhando lançamentos públicos de Provas de Conceito (PoC) e informações da comunidade para garantir uma resposta ágil caso o cenário de ameaças mude.

Ações recomendadas

Usuários do Alibaba Cloud Linux não precisam adotar medidas imediatas de mitigação para a CVE-2026-46300. No entanto, recomendamos atualizar regularmente o sistema para receber os patches de segurança mais recentes do kernel.
Caso utilize outras distribuições Linux (que não o Alibaba Cloud Linux) com o recurso ESP-in-TCP ativado, consulte o aviso de segurança da sua distribuição para verificar se medidas temporárias de mitigação, como bloqueio de módulos do kernel, são necessárias.