Dirty Frag: שתי חולשות בליבת Linux נותנות root, והקוד יצא לפני התיקון
ב-7 במאי 2026 פרסם חוקר את Dirty Frag, שרשרת של CVE-2026-43284 ו-CVE-2026-43500 שמעלה משתמש רגיל ל-root ברוב הפצות Linux, כשעוד לא היה תיקון.
TL;DR בקצרה
- Dirty Frag משלבת שתי חולשות, ב-IPsec וב-RxRPC, ונותנת למשתמש רגיל הרשאות root.
- הפרטים וקוד הניצול פורסמו ב-7 במאי 2026, כשעוד לא היו תיקון ומזהי CVE, אחרי שהסכם הפרסום המתואם התמוטט.
- הסיכון הגדול הוא בשרתים שמשתמשים נוספים נכנסים אליהם, כמו שרתים משותפים ושרתי בנייה.
- עד התיקון אפשר לחסום את המודולים esp4, esp6 ו-rxrpc, אבל זה עלול לשבש IPsec.
Dirty Frag היא שרשרת של שתי חולשות בליבת Linux, שנותנת למשתמש רגיל הרשאות root. ב-7 במאי 2026 פרסם החוקר Hyunwoo Kim את הפרטים ואת קוד הניצול. באותו זמן עוד לא היו תיקון ומזהי CVE. לדבריו, ההסכם לפרסום מתואם התמוטט בגלל גורמים חיצוניים.
מה זה Dirty Frag ואיך הוא נותן root
שתי החולשות הן CVE-2026-43284, ב-IPsec, ו-CVE-2026-43500, ב-RxRPC. בשתיהן משתמש רגיל משנה בזיכרון את העותק של קבצי מערכת, כמו /usr/bin/su. יש לו עליהם רק הרשאת קריאה. במהלך עיבוד חבילת רשת הליבה מפענחת נתונים ישירות מעל העמוד הזה. השינוי מתבצע במטמון הדפים בזיכרון, וכל קריאה של הקובץ מחזירה את העותק המשובש.
החוקר מראה שאפשר להחליף כך את תחילת su בתוכנית שפותחת מעטפת root. אחר כך מספיקה הרצה אחת של su כדי לקבל הרשאות מלאות. זו שגיאת לוגיקה דטרמיניסטית. אין צורך בתזמון מדויק, והליבה לא קורסת כשהניסיון נכשל.
החולשה ב-IPsec קיימת בליבה מאז ינואר 2017. היא דורשת הרשאת CAP_NET_ADMIN, שמשתמש רגיל משיג כשהוא פותח מרחב שמות (namespace) משלו. החולשה ב-RxRPC קיימת מאז יוני 2023 ואינה דורשת זאת. אבל המודול rxrpc חסר ברוב ההפצות, ו-Ubuntu טוענת אותו כברירת מחדל.
לכן הצירוף חזק. ב-Ubuntu מדיניות AppArmor חוסמת את המסלול של IPsec, אבל המסלול של RxRPC פועל שם. בהפצות שאין בהן rxrpc, המסלול של IPsec הוא זה שעובד. החוקר בדק את הניצול ב-Ubuntu 24.04.4, ב-RHEL 10.1 וב-CentOS Stream 10. הוא בדק גם את AlmaLinux 10, את Fedora 44 ואת openSUSE Tumbleweed.
מי בסיכון, ולמה הגנה מ-Copy Fail לא מספיקה
זו חולשה מקומית. התוקף כבר צריך להריץ קוד בשרת, גם כמשתמש רגיל. לכן הסיכון הגדול הוא בשרתים מרובי דיירים ובשרתי בנייה. הוא גדול גם במערכות שבהן משתמשים לא מהימנים מקבלים מעטפת. כך מתארת AlmaLinux בהודעה שלה.
ב-Wiz מציינים שהניצול דורש בדרך כלל הרשאות גבוהות כמו CAP_NET_ADMIN. לכן הוא פחות סביר בקונטיינרים מוקשחים. הסיכון נשאר ממשי במכונות וירטואליות ובסביבות פחות מוגבלות.
Dirty Frag קשורה לחולשה דומה מסוף אפריל, Copy Fail (CVE-2026-31431). מי שחסם אז את המודול algif_aead עדיין חשוף. Dirty Frag לא תלויה בו.
איך מתגוננים מ-Dirty Frag
הפתרון הרשמי הוא עדכון ליבה, ברגע שההפצה שלכם מפיצה אותו. עד אז החוקר ממליץ לחסום את המודולים esp4, esp6 ו-rxrpc ולהסיר אותם מהזיכרון. המחיר, לפי Wiz: חסימת esp4 ו-esp6 עלולה לשבש IPsec, וחסימת rxrpc עלולה לפגוע בסביבות AFS.
Red Hat מציעה חלופה שאינה פוגעת ב-IPsec. היא מורה לכבות מרחבי שמות למשתמשים רגילים, בהגדרה user.max_user_namespaces=0. זה עלול לפגוע בקונטיינרים בלי הרשאות root, בדפדפנים מבודדים וב-Flatpak.
מה קרה מאז: AlmaLinux פרסמה ב-7 במאי ליבות מתוקנות במאגר הבדיקות שלה. באותו זמן Red Hat עוד לא שחררה תיקון. ב-4 ביוני פרסמה Canonical את USN-8389-1 עם תיקון לגרסאות 20.04 ו-18.04. בדף של Red Hat, מ-3 ביולי, מצוין שהתיקונים יצאו לכל המוצרים הפגיעים. Red Hat מזכירה שם גם וריאנט שלישי, Fragnesia (CVE-2026-46300).
מה זה אומר עבורכם
- עדכנו ליבה: התקינו את עדכון הליבה של ההפצה שלכם, ואתחלו את השרת.
- חסמו עד אז: בדקו תחילה אם אתם משתמשים ב-IPsec, ואז חסמו את esp4, esp6 ו-rxrpc.
- אל תסתמכו על Copy Fail: חסימת algif_aead לא מגינה מ-Dirty Frag.
- שרת משותף: שאלו את ספק האחסון אם עדכן את הליבה, והגבילו מי מקבל מעטפת.
מקורות והרחבה
- Dirty FragHyunwoo Kim
- RHSB-2026-003: Dirty Frag Linux Kernel Privilege EscalationRed Hat
- Dirty Frag (CVE-2026-43284, CVE-2026-43500) Patches ReleasedAlmaLinux
- Dirty Frag: Linux Kernel Local Privilege Escalation via ESP and RxRPCWiz
- Dirty Frag: A new Linux privilege escalation vulnerability is already in the wildSecurity Affairs
- USN-8389-1: Linux kernel vulnerabilitiesUbuntu
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
