Se exploradas, essas falhas podem permitir que invasores obtenham acesso não autorizado a informações confidenciais ou geralmente causem problemas
La A segurança do Linux foi severamente afetada. nos últimos dias e enfrenta uma crise operacional sem precedentes. com a descoberta de Fragnesia (CVE-2026-46300), a quarta vulnerabilidade crítica relatada.
Também conhecido como Falha de Cópia 3.0 pela equipe de pesquisa V12 responsável por sua descoberta, isto Uma falha de escalonamento de privilégios local expõe um vetor de ataque universal. e extremamente preciso. Assim como seus predecessores, o Fragnesia permite que um usuário sem privilégios obtenha acesso administrativo absoluto sobrescrevendo dados diretamente no cache de páginas da RAM, sem alterar os arquivos físicos no disco rígido. Embora compartilhe o mesmo vetor de ataque que Fragmento sujo dentro do subsistema xfrm-ESPSua natureza decorre de um erro lógico completamente diferente, que exigiu o desenvolvimento de uma correção independente e urgente.
O que torna Fragnesia excepcionalmente perigosa é a sua Capacidade de realizar gravações de bytes arbitrários em arquivos somente leitura sem depender de condições de corrida complexas.A vulnerabilidade é acionada pelo mecanismo de encapsulamento do protocolo ESP-in-TCP, revelando que as correções lançadas anteriormente foram insuficientes ou, paradoxalmente, criaram as condições para acionar acidentalmente essa nova vulnerabilidade em kernels lançados até 13 de maio de 2026. Com um código operacional totalmente funcional e disponível publicamente. já disponível, o Os administradores de sistemas enfrentam uma corrida contra o tempo para implementar bloqueios. temporário enquanto as principais distribuições implementam as correções finais em seus repositórios.
Esquecimento de fragmentos e injeção criptográfica AES-GCM
El A origem de Fragnesia reside em uma falha de lógica. dentro do gerenciamento do buffer de rede do kernel. O erro central ocorre porque o buffer (skb) literalmente "esquece" que um fragmento de memória Está sendo compartilhado durante o processo de coalescência de dados. Quando um socket TCP faz a transição para o modo de nível de usuário (ULP) espintcp após os dados já terem sido transferidos de um arquivo para a fila de recebimento, O kernel comete o erro fatal de processar as páginas de arquivos enfileiradas como se fossem textos cifrados ESP legítimos. Na tentativa de otimizar o desempenho e evitar armazenamento desnecessário, o sistema aplica o algoritmo criptográfico AES-GCM diretamente ao cache de páginas usando uma operação XOR in-place. Manipulando cuidadosamente o vetor de inicialização (IV), ou nonce, um atacante pode forçar o sistema a produzir um byte específico a partir do fluxo de chaves, sobrescrevendo assim qualquer byte alvo no arquivo com o valor exato desejado.
Tabelas de consulta e alteração de binários protegidos
El O ataque começa isolando o processo em um novo espaço de nomes de usuário e de rede., onde o O atacante instala uma associação de segurança ESP. do modo de transporte com uma chave conhecida. Em seguida, o O programa cria uma tabela de consulta com 256 entradas que mapeia cada byte resultante possível. do fluxo de chaves criptográficas com seu respectivo nonce. Usando transferência direta de memória (splice), o atacante Carrega um arquivo executável no cache de páginas. crítico do sistema com o bit suid definido, Normalmente, o utilitário /usr/bin/su. Iterando meticulosamente byte a byte e acionando repetidamente a falha, O software sobrescreve os primeiros 192 bytes do utilitário original com um pequeno código executável. (stub) independente da posição. Quando o comando alterado é finalmente invocado, o sistema operacional ignora o arquivo seguro no disco rígido e executa a versão contaminada do cache, concedendo instantaneamente uma sessão de shell de superusuário ou root.
Restrições ambientais e protocolos críticos de limpeza
Apesar de ser uma técnica exploratória, sua execução bem-sucedida depende de uma condição ambiental específica.: a capacidade de criar namespaces de usuário sem privilégios. Em sistemas com configurações padrão restritivas, assim como o Ubuntu com seus perfis AppArmor ativos, O ataque é bloqueado em sua fase inicial, a menos que o administrador tenha modificado os parâmetros. do kernel para habilitar essa função.
Um aspecto crítico deste ataque é a persistência temporária da infecção. Como o binário alterado permanece no cache de páginas, qualquer execução legítima subsequente do comando infectado ainda abrirá sessões root indesejadas. Portanto, é importante que as equipes de segurança limpem imediatamente o cache do sistema usando ferramentas de memória virtual após qualquer ataque de prova de conceito.
Para mitigar a ameaça em servidores de produção até que as correções oficiais sejam lançadas, a recomendação técnica é desativar radicalmente o carregamento dos módulos esp4, esp6 e rxrpc na configuração global do kernel.
Finalmente, se você estiver interessado em saber mais sobre isso, você pode consultar os detalhes no link a seguir.