Se sfruttati, questi difetti possono consentire agli aggressori di ottenere l'accesso non autorizzato a informazioni riservate o, in generale, causare problemi
La La sicurezza di Linux è stata gravemente compromessa negli ultimi giorni e si trova ad affrontare una crisi operativa senza precedenti con la scoperta di Fragnesia (CVE-2026-46300), la quarta vulnerabilità critica segnalata.
Conosciuto anche come Copy Fail 3.0 dal team di ricerca V12 responsabile della sua scoperta, questo Una falla locale nell'escalation dei privilegi espone un vettore di attacco universale e estremamente accurato. Come i suoi predecessori, Fragnesia consente a un utente non privilegiato di ottenere l'accesso assoluto di amministratore sovrascrivendo i dati direttamente nella cache delle pagine RAM, senza alterare i file fisici sul disco rigido. Sebbene condivida lo stesso vettore di attacco di Frammento sporco all'interno del sottosistema xfrm-ESPLa sua natura deriva da un errore logico completamente diverso che ha richiesto la progettazione di una patch di mitigazione indipendente e urgente.
Ciò che rende Fragnesia eccezionalmente pericolosa è la sua capacità di eseguire scritture di byte arbitrarie su file di sola lettura senza dover ricorrere a complesse condizioni di competizione.La vulnerabilità viene attivata tramite il meccanismo di incapsulamento del protocollo ESP-in-TCP, rivelando che le patch rilasciate in precedenza erano insufficienti o, paradossalmente, hanno creato le condizioni per attivare accidentalmente questa nuova vulnerabilità nei kernel rilasciati fino al 13 maggio 2026. Con un codice operativo completamente funzionante e disponibile pubblicamente. ora disponibile, il Gli amministratori di sistema sono impegnati in una corsa contro il tempo per implementare i lockdown. Questa correzione è temporanea, in attesa che le principali distribuzioni implementino le correzioni definitive nei propri repository.
Dimenticanza dei frammenti e iniezione crittografica AES-GCM
El L'origine di Fragnesia risiede in un errore di logica. all'interno della gestione del buffer di rete del kernel. L'errore centrale si verifica perché il buffer (skb) letteralmente "dimentica" che un frammento di memoria Viene condiviso durante il processo di coalescenza dei dati. Quando un socket TCP effettua la transizione alla modalità a livello utente (ULP) espintcp dopo che i dati sono già stati trasferiti da un file alla coda di ricezione, Il kernel commette l'errore fatale di elaborare le pagine dei file in coda come se fossero testo cifrato ESP legittimo. Nel tentativo di ottimizzare le prestazioni ed evitare un inutile utilizzo di memoria, il sistema applica l'algoritmo crittografico AES-GCM direttamente alla cache di pagina tramite un'operazione XOR in loco. Manipolando attentamente il vettore di inizializzazione (IV), o nonce, un utente malintenzionato può forzare il sistema a produrre un byte specifico dal flusso di chiavi, sovrascrivendo così qualsiasi byte di destinazione nel file con il valore desiderato.
Tabelle di ricerca e modifica dei file binari protetti
El L'attacco inizia isolando il processo in un nuovo utente e in un nuovo namespace di rete., dove il l'attaccante installa un'associazione di sicurezza ESP della modalità di trasporto con una chiave nota. Successivamente, il Il programma crea una tabella di ricerca di 256 voci che mappa ogni possibile byte risultante del flusso di chiave crittografica con il rispettivo nonce. Utilizzando il trasferimento diretto di memoria (splice), l'attaccante carica un file eseguibile nella cache della pagina critico del sistema con il bit suid impostato, In genere l'utilità /usr/bin/su. Iterando meticolosamente byte per byte e attivando ripetutamente l'errore, Il software sovrascrive i primi 192 byte dell'utility originale con un piccolo codice eseguibile. (stub) indipendente dalla posizione. Quando il comando modificato viene finalmente richiamato, il sistema operativo ignora il file protetto sul disco rigido ed esegue la versione contaminata dalla cache, concedendo istantaneamente una sessione shell di superutente o root.
Restrizioni ambientali e protocolli di pulizia rigorosi
Nonostante si tratti di un exploit, la sua corretta esecuzione dipende da una specifica condizione ambientale.: la possibilità di creare namespace utente non privilegiati. Nei sistemi con configurazioni predefinite restrittive, come Ubuntu con i suoi profili AppArmor attivi, L'attacco viene bloccato nella sua fase iniziale a meno che l'amministratore non abbia modificato i parametri del kernel per abilitare questa funzione.
Un aspetto critico di questo attacco è la persistenza temporanea dell'infezione. Poiché il file binario alterato rimane nella cache di pagina, qualsiasi successiva esecuzione legittima del comando infetto aprirà comunque sessioni root indesiderate. Pertanto, è importante che i team di sicurezza svuotino immediatamente la cache di sistema utilizzando strumenti di memoria virtuale dopo qualsiasi attacco proof-of-concept.
Per mitigare la minaccia sui server di produzione in attesa delle patch ufficiali, la raccomandazione tecnica è di disabilitare completamente il caricamento dei moduli esp4, esp6 e rxrpc nella configurazione globale del kernel.
Infine, se sei interessato a saperne di più, puoi consultare i dettagli nel seguente link