CVE-2026-43284 & CVE-2026-43500 (DirtyFrag）核心漏洞修複說明

CVE-2026-43284（ESP 原地解密漏洞）

漏洞原理：

在 Linux 核心的 IPsec ESP 輸入路徑中，當處理來自 UDP 封裝的 ESP（ESP-in-UDP）資料包時，若資料包頁面片段通過 MSG_SPLICE_PAGES、splice(2) 或 sendfile(2) 等方式從管道（pipe）直接附加到 socket buffer（skb），核心會將此類 skb 標記為 SKBFL_SHARED_FRAG，以便後續可能修改資料包內容的代碼路徑先執行私人拷貝（COW）。

然而，IPv4/IPv6 資料包追加路徑在為 UDP skb 拼接頁面片段時，未正確設定 SKBFL_SHARED_FRAG 標誌。這使得 ESP 輸入處理常式將包含外部 pipe 頁面的 skb 誤判為普通的、非複製的線性 skb，從而直接在外部頁面（非核心私人持有）上執行原地解密（in-place decrypt）。

惡意攻擊者可通過精心構造的管道頁面配置，在 ESP 解密階段篡改或暴露敏感頁面緩衝（page-cache）資料，例如 /etc/passwd 等關鍵系統檔案，最終實現本地許可權提升至 root。

受影響核心版本：該漏洞自 Linux 4.11 起引入，所有未打補丁的 4.11 及以上版本核心均受影響。

CVE-2026-43500（RxRPC 頁面緩衝寫入漏洞）

漏洞原理：

CVE-2026-43500 是 Dirty Frag 漏洞家族的另一半，位於核心的 rxrpc（Remote Procedure Call over RX）模組中。該漏洞與 CVE-2026-43284 共用相同的根本成因：RxRPC 的接收路徑同樣存在對共用 skb 片段進行原地解密/寫入的操作，當 skb 頁面片段來自外部參考（如 pipe 頁面）時，核心錯誤地直接修改了非私人資料，導致頁面緩衝汙染和許可權提升。

與 CVE-2026-43284 不同的是，CVE-2026-43500 主要影響啟用了 rxrpc 核心模組的系統。該模組通常在部分發行版的 kernel-modules-extra 或 kernel-modules-partner 包中提供。