Encore Linux est confronté à un nouveau défi avec l'émergence de « Dirty Frag ».un certain nombre de vulnérabilités également connu sous le nom de Copy Fail 2. Cet ensemble de failles de haute gravité, formellement identifiées sous les registres CVE-2026-43284 et CVE-2026-43500, permet à un utilisateur local non privilégié d'obtenir un accès administrateur complet en écrasant directement les données dans le cache de pages du système d'exploitation.
Il est mentionné que La menace s'est avérée exceptionnellement versatile et dangereuse.parce qu'un chercheur a réussi à développer une faille fonctionnellecapable de compromettre pratiquement toutes les distributions actuelles, obligeant les administrateurs système à prendre des mesures immédiates face à un problème qui a été mis en évidence plus tôt que prévu en raison d'une fuite accidentelle d'informations.
Dirty Frag n'est pas un bug isolé, mais plutôt Elle englobe deux vulnérabilités distinctes qui résident dans des sous-systèmes indépendants. du noyau Linux :
- Le module xfrm-ESP : responsable de l'accélération des opérations de chiffrement IPsec utilisant le protocole Encapsulated Security Payload,
- Le contrôleur RxRPC : responsable de la gestion des appels de procédure à distance via des connexions UDP.
Bien qu'elles opèrent dans des domaines différents et aient été introduites à des années différentes, Les deux vulnérabilités partagent le même vecteur d'attaque d'origine. en raison d'optimisations défectueuses dans la gestion de la mémoire. Selon la configuration de sécurité et les modules chargés dans chaque distribution, Un attaquant peut exploiter l'une ou l'autre de ces failles pour élever ses privilèges et prendre le contrôle. absolu du serveur affecté.
Optimisations défectueuses et manipulation de la mémoire
Les mécanismes internes de ces vulnérabilités Elle présente une ressemblance frappante avec la récente défaillance structurelle Échec de la copieLe problème central survient lors du processus de décryptage des données dans le même espace mémoire, connu sous le nom d'opérations « sur place », par l'utilisation d'une fonction de transfert de fichiers spécifique.
En déplaçant des données entre les descripteurs et les pipelines sans les copier physiquement afin d'économiser des ressources, le système transmet des références directes aux éléments stockés dans le cache de pages. Le défaut critique Cela se produit en raison des déplacements d'écriture. Au cours de ce processus, des calculs ont été effectués. sans appliquer les contrôles de sécurité appropriés pour ce type de référence directe, permettant à une requête malveillante méticuleusement conçue d'écraser exactement quatre octets dans le cache de n'importe quel fichier chargé dans le système.
Le danger Cela réside dans la manière dont les systèmes d'exploitation modernes gèrent l'efficacité de la lecture des fichiers.Étant donné que toute requête de lecture récupère d'abord les informations à partir du cache de pages RAM afin d'accélérer les performances, Une altération dans cet espace volatil provoque la transmission par le noyau de données contrefaites au lieu du contenu réel. stocké en toute sécurité sur le disque dur.
Cette méthode d'exploitation tire parti de cette architecture pour modifier la version en cache d'un fichier exécutable critique disposant de privilèges de superutilisateur, en injectant du code malveillant directement en mémoire. Une fois cet outil compromis exécuté, le système traite le code injecté avec des privilèges absolus, octroyant un accès root instantané sans jamais altérer le fichier physique original.
Exploitation et fuite du correctif de sécurité
Pour réussir cette attaque, le Un acteur malveillant doit contourner certaines défenses en fonction du module cibleLa vulnérabilité présente dans le sous-système xfrm-ESP exige que l'utilisateur dispose des autorisations nécessaires pour créer des espaces de noms.Cette action est bloquée par défaut par les distributions robustes comme Ubuntu grâce aux règles strictes d'AppArmor. Cependant, pour contourner ces protections, des chercheurs ont développé une faille de sécurité combinée qui cible également le module RxRPC, généralement chargé par défaut sur de nombreux systèmes. Cette polyvalence leur a permis de confirmer l'efficacité de l'attaque par élévation de privilèges sur les dernières versions stables des distributions Linux.
La gestion de cette crise a subi un grave revers opérationnel lorsque Des détails techniques essentiels ont fuité avant la date de sortie prévue.Fin avril, Plusieurs correctifs ont été envoyés à des listes de diffusion publiques. Développement du réseau sans avertissement quant à son lien direct avec une vulnérabilité critique d'élévation de privilèges.
Un Un chercheur indépendant en sécurité a analysé ces changements. dans le dépôt, Il a reconnu la similitude avec la vulnérabilité Copy Fail originale et a réussi à développer et à publier un exploit fonctionnel.Il ignorait totalement qu'un embargo de confidentialité était en vigueur. Heureusement, Des versions correctives du noyau ont déjà commencé à être distribuées en masse. Pour combler ces deux lacunes, et pour les systèmes qui ne peuvent pas encore appliquer les mises à jour finales, il est fortement recommandé de bloquer le chargement manuel des modules esp4, esp6 et rxrpc à titre de mesure d'urgence.
Enfin, si vous souhaitez en savoir plus à ce sujet, vous pouvez consulter le détails dans le lien suivant.