Wenn sie ausgenutzt werden, können diese Schwachstellen Angreifern den unbefugten Zugriff auf vertrauliche Informationen ermöglichen oder allgemein Probleme verursachen
La Die Linux-Sicherheit wurde stark beeinträchtigt in den letzten Tagen und steht vor einer beispiellosen operativen Krise mit der Entdeckung von Fragnesia (CVE-2026-46300), die vierte gemeldete kritische Sicherheitslücke.
Auch bekannt als Kopierfehler 3.0 vom V12-Forschungsteam, das für seine Entdeckung verantwortlich ist, Eine lokale Schwachstelle zur Rechteausweitung legt einen universellen Angriffsvektor offen. und äußerst präzise. Wie seine Vorgänger ermöglicht Fragnesia einem Benutzer ohne Administratorrechte, uneingeschränkten Administratorzugriff zu erlangen, indem Daten direkt im RAM-Seitencache überschrieben werden, ohne die physischen Dateien auf der Festplatte zu verändern. Obwohl es denselben Angriffsvektor wie … verwendet. Dirty Frag innerhalb des xfrm-ESP-SubsystemsSeine Ursache liegt in einem völlig anderen logischen Fehler, der die Entwicklung eines unabhängigen und dringenden Abhilfe-Patches erforderlich machte.
Was Fragnesia so außergewöhnlich gefährlich macht, ist ihre Fähigkeit, beliebige Byte-Schreibvorgänge in schreibgeschützte Dateien durchzuführen, ohne auf komplexe Race Conditions angewiesen zu sein.Die Schwachstelle wird durch den ESP-in-TCP-Protokollkapselungsmechanismus ausgelöst, was zeigt, dass zuvor veröffentlichte Patches unzureichend waren oder paradoxerweise die Bedingungen geschaffen haben, um diese neue Schwachstelle in Kerneln, die bis zum 13. Mai 2026 veröffentlicht wurden, versehentlich auszulösen. Mit einem vollständig funktionsfähigen, öffentlich verfügbaren Betriebscode. jetzt erhältlich, die Systemadministratoren stehen unter Zeitdruck, um Lockdowns umzusetzen. vorübergehend, bis die großen Distributionen die endgültigen Korrekturen in ihren Repositories bereitstellen.
Fragmentvergessen und kryptografische AES-GCM-Injektion
El Der Ursprung der Fragnesia liegt in einem Logikfehler. innerhalb der Netzwerkpufferverwaltung des Kernels. Der zentrale Fehler tritt auf, weil der Puffer (skb) vergisst buchstäblich, dass ein Erinnerungsfragment Es wird während des Datenzusammenführungsprozesses geteilt. Ein TCP-Socket vollzieht den Übergang in den Benutzermodus (ULP) espintcp nachdem die Daten bereits übertragen wurden von einer Datei zur Empfangswarteschlange, Der Kernel begeht den fatalen Fehler, die in der Warteschlange befindlichen Dateiseiten so zu verarbeiten, als wären sie legitimer ESP-Chiffretext. Um die Leistung zu optimieren und unnötigen Speicherplatz zu vermeiden, wendet das System den kryptografischen AES-GCM-Algorithmus direkt auf den Seitencache mittels einer In-Place-XOR-Operation an. Durch gezielte Manipulation des Initialisierungsvektors (IV) oder der Nonce kann ein Angreifer das System zwingen, ein bestimmtes Byte aus dem Schlüsselstrom zu erzeugen und so jedes beliebige Zielbyte in der Datei mit dem gewünschten Wert zu überschreiben.
Nachschlagetabellen und die Änderung geschützter Binärdateien
El Der Angriff beginnt damit, dass der Prozess in einem neuen Benutzer- und Netzwerk-Namespace isoliert wird., wo die Angreifer installiert ESP-Sicherheitsassoziation des Transportmodus mit einer bekannten Taste. Als nächstes der Das Programm erstellt eine Nachschlagetabelle mit 256 Einträgen, die jedes mögliche Ergebnisbyte abbildet. des kryptografischen Schlüsselstroms mit seiner jeweiligen Nonce. Mittels direkter Speicherübertragung (Splice) kann der Angreifer Lädt eine ausführbare Datei in den Seitencache kritisch gegenüber dem System mit gesetztem Suid-Bit Typischerweise das Dienstprogramm /usr/bin/su. Sorgfältig Byte für Byte durchlaufen und den Fehler wiederholt auslösen. Die Software überschreibt die ersten 192 Bytes des ursprünglichen Hilfsprogramms mit einem kleinen ausführbaren Code. (Stub) Positionsunabhängig. Wenn der veränderte Befehl schließlich aufgerufen wird, ignoriert das Betriebssystem die geschützte Datei auf der Festplatte und führt die manipulierte Version aus dem Cache aus, wodurch sofort eine Superuser- oder Root-Shell-Sitzung gewährt wird.
Umweltauflagen und kritische Reinigungsprotokolle
Obwohl es sich um eine Ausnutzung handelt, hängt ihre erfolgreiche Ausführung von einer bestimmten Umgebungsbedingung ab.Die Möglichkeit, unprivilegierte Benutzer-Namespaces zu erstellen. In Systemen mit restriktiven Standardkonfigurationen wie Ubuntu mit seinen aktiven AppArmor-Profilen, Der Angriff wird in seiner Anfangsphase blockiert, es sei denn, der Administrator hat die Parameter geändert. des Kernels, um diese Funktion zu aktivieren.
Ein kritischer Aspekt dieses Angriffs ist die temporäre Persistenz der Infektion. Da die veränderte Binärdatei im Seitencache verbleibt, öffnet jede nachfolgende legitime Ausführung des infizierten Befehls weiterhin unerwünschte Root-Sitzungen. Daher ist es für Sicherheitsteams unerlässlich, den Systemcache nach jedem Proof-of-Concept-Angriff umgehend mithilfe von Tools für virtuellen Speicher zu leeren.
Um die Bedrohung auf Produktionsservern bis zum Eintreffen offizieller Patches zu minimieren, wird technisch empfohlen, das Laden der Module esp4, esp6 und rxrpc in der globalen Kernelkonfiguration radikal zu deaktivieren.
Wenn Sie daran interessiert sind, mehr darüber zu erfahren, können Sie schließlich die Details einsehen im folgenden Link.