Visão geral da vulnerabilidade
A equipe de segurança do Alibaba Cloud Linux identificou um conjunto de vulnerabilidades de escalonamento de privilégios local divulgadas recentemente no kernel Linux, conhecidas coletivamente como Dirty Frag. Essas vulnerabilidades exploram uma falha na propriedade compartilhada de fragmentos de página dentro de um socket buffer (skb) no subsistema de rede do kernel. Isso permite que um caminho de descriptografia in-place modifique dados de página que não são de propriedade privada do kernel, o que pode levar ao escalonamento de privilégios locais para root.
O Dirty Frag consiste em dois CVEs relacionados que afetam, respectivamente, os módulos IPsec ESP e RxRPC:
|
ID do CVE |
Módulo afetado |
Gravidade |
|
CVE-2026-43284 |
|
Alta |
|
CVE-2026-43500 |
|
Alta |
Códigos de exploração de prova de conceito (PoC) disponíveis publicamente demonstraram escalonamento confiável de privilégios de root local nas principais distribuições Linux. Caso um invasor obtenha execução com baixos privilégios em um sistema alvo (por exemplo, um shell de usuário padrão, um processo web comprometido ou como pré-requisito para escape de contêiner), ele poderá explorar essa vulnerabilidade para comprometer totalmente o nó afetado.
Detalhes da vulnerabilidade
CVE-2026-43284 (Vulnerabilidade de descriptografia in-place do ESP)
Mecanismo da vulnerabilidade:
No caminho de entrada do IPsec ESP do kernel Linux, ao processar pacotes ESP-in-UDP, se fragmentos de página forem anexados diretamente a um socket buffer (skb) a partir de um pipe usando métodos como MSG_SPLICE_PAGES, splice(2) ou sendfile(2), o kernel deve marcar o skb com a flag SKBFL_SHARED_FRAG. Essa flag garante que qualquer caminho de código que possa modificar os dados do pacote execute primeiro uma operação de copy-on-write (COW).
No entanto, o caminho de anexação de pacotes IPv4/IPv6 não define corretamente a flag SKBFL_SHARED_FRAG ao fazer splice de fragmentos de página para um skb UDP. Isso faz com que o manipulador de entrada do ESP interprete erroneamente um skb contendo páginas externas de pipe como um skb linear normal e não clonado. Como resultado, ele executa uma operação de descriptografia in-place diretamente na página externa, que não é de propriedade privada do kernel.
Um agente mal-intencionado pode criar um layout específico de página de pipe para corromper ou expor dados sensíveis do cache de páginas, como o conteúdo de arquivos críticos do sistema como /etc/passwd, durante a fase de descriptografia do ESP. Isso pode levar ao escalonamento de privilégios locais para root.
Versões do kernel afetadas: Esta vulnerabilidade foi introduzida no Linux 4.11 e afeta todas as versões subsequentes não corrigidas.
CVE-2026-43500 (Vulnerabilidade de escrita no cache de páginas do RxRPC)
Mecanismo da vulnerabilidade:
O CVE-2026-43500, o outro componente da família de vulnerabilidades Dirty Frag, reside no módulo rxrpc (Remote Procedure Call over RX) do kernel. Ele compartilha a mesma causa raiz do CVE-2026-43284: o caminho de recebimento do RxRPC também executa operações de descriptografia ou escrita in-place em fragmentos de skb compartilhados. Quando esses fragmentos provêm de uma referência externa, como uma página de pipe, o kernel modifica incorretamente dados não privados, levando à corrupção do cache de páginas e ao escalonamento de privilégios.
Diferentemente do CVE-2026-43284, o CVE-2026-43500 afeta principalmente sistemas onde o módulo de kernel rxrpc está ativado. Esse módulo é normalmente fornecido em pacotes como kernel-modules-extra ou kernel-modules-partner em algumas distribuições.
Produtos e versões afetados
Os seguintes produtos e versões do Alibaba Cloud Linux são afetados pela vulnerabilidade Dirty Frag:
|
Produto |
Versão do kernel |
CVE afetado |
Status |
|
Alibaba Cloud Linux 2 |
4.19.91-28.5.al7 e anteriores |
CVE-2026-43284 |
Afetado |
|
Alibaba Cloud Linux 3 |
5.10.134-19.3.1.al8 e anteriores |
CVE-2026-43284 |
Afetado |
|
Alibaba Cloud Linux 4 |
6.6.102-5.3.1.alnx4 e anteriores |
CVE-2026-43284 |
Afetado |
Os kernels do Alibaba Cloud Linux não incluem o módulo rxrpc por padrão. Portanto, eles são afetados apenas pelo CVE-2026-43284, e não pelo CVE-2026-43500.
Mitigação
Esta vulnerabilidade explora o módulo xfrm-ESP. Desativar esse módulo como mitigação pode interromper serviços IPsec (VPN). Se seus serviços dependem desse módulo, avalie o impacto antes de desativá-lo.
Desative o módulo xfrm-ESP:
sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf"
sudo rmmod esp4 esp6 2> /dev/null || trueCorreção
O Alibaba Cloud Linux iniciou um processo de correção de emergência e fornecerá atualizações assim que as correções estiverem disponíveis. Usuários afetados devem aplicar as medidas temporárias de mitigação para reduzir os riscos de segurança.