Accès root pour les utilisateurs locaux
Qu'est-ce que Dirty Frag ?
Dirty Frag est une nouvelle vulnérabilité zero-day sous Linux qui permet à des attaquants locaux d'obtenir des privilèges root sur la plupart des principales distributions Linux à l'aide d'une seule commande. Elle repose sur deux vulnérabilités enchaînées (CVE-2026-43284 et CVE-2026-43500) qui, combinées, créent une vulnérabilité critique d'élévation locale de privilèges (Local Privilege Escalation - LPE) dans le noyau Linux. Un exploit public était déjà disponible avant le déploiement des correctifs..
L'attaque exploite le mécanisme de transmission « zero-copy » dans lequel splice() insère une référence vers une page du cache mémoire en lecture seule, telle que /etc/passwd ou /usr/bin/su, dans un tampon réseau. Le noyau effectue ensuite des opérations cryptographiques directement sur cette page, la modifiant de manière permanente en mémoire vive (RAM). Toute lecture ultérieure du fichier renvoie alors la version corrompue, alors même que l'attaquant ne disposait initialement que de droits de lecture.
Comme il s'agit d'une erreur logique déterministe sans condition de concurrence (race condition), aucune fenêtre temporelle particulière n'est nécessaire, le noyau ne plante pas en cas d'échec et le taux de réussite de l'attaque est extrêmement élevé.
Les objectifs de l'exploit Dirty Frag
L'objectif principal est l'élévation locale de privilèges (LPE) : un utilisateur disposant de faibles privilèges sur un système Linux peut obtenir les droits root. Cela permet à des attaquants ayant déjà obtenu un accès limité, par exemple via des identifiants volés, du phishing ou une autre compromission, de prendre le contrôle total du système.
Sur les hôtes ne faisant pas fonctionner de charges de travail conteneurisées, l'exploitation permet à un utilisateur local d'obtenir les privilèges root. Dans les environnements de conteneurs exécutant des charges de travail tierces, la vulnérabilité peut également faciliter une évasion de conteneur (container escape), en plus de l'élévation de privilèges sur l'hôte.
L'exploit couvre deux vecteurs d'attaque complémentaires : il tente d'abord la voie ESP et bascule automatiquement vers la voie RxRPC, ciblant /etc/passwd, si unshare(CLONE_NEWUSER) échoue.
Qui est concerné ?
Les distributions affectées comprennent notamment Red Hat Enterprise Linux, AlmaLinux, Debian, Ubuntu, Fedora, Arch Linux, CentOS, CloudLinux, Amazon Linux, ainsi que d'autres distributions. En pratique, presque tous les environnements Linux en production qui n'ont pas encore été corrigés sont potentiellement vulnérables.
La vulnérabilité ESP (CVE-2026-43284) a été introduite en janvier 2017, ce qui signifie que cette chaîne de vulnérabilités est restée présente pendant près de neuf ans.
La divulgation a été accélérée lorsqu'un tiers a rompu l'embargo. Le chercheur Hyunwoo Kim avait signalé confidentiellement les deux vulnérabilités les 29 et 30 avril 2026, mais a été contraint de publier la documentation complète ainsi que la preuve de concept (PoC) après qu'un tiers eut divulgué les informations le 7 mai 2026, avant même la disponibilité des correctifs.
Prévention : appliquer les correctifs ou mettre en place des mesures temporaires
Étape 1 : appliquer les correctifs dès que possible
Pour AlmaLinux, des noyaux corrigés sont disponibles dans les dépôts de production depuis le 8 mai 2026. Mettez à jour puis redémarrez le système : sudo dnf clean metadata && sudo dnf upgrade kernel && sudo reboot. Après le redémarrage, vérifiez que le noyau corrigé est bien en cours d'exécution : uname -r. Consultez les avis de sécurité de votre distribution Linux pour connaître les procédures équivalentes.
Étape 2 : mesures temporaires si l'application des correctifs n'est pas immédiatement possible
Placez les modules du noyau vulnérables sur liste noire :
- “echo "install esp4 /bin/false" >> /etc/modprobe.d/dirtyfrag.conf”
- “echo "install esp6 /bin/false" >> /etc/modprobe.d/dirtyfrag.conf”
- “echo "install rxrpc /bin/false" >> /etc/modprobe.d/dirtyfrag.conf”
- “modprobe -r esp4 esp6 rxrpc 2>/dev/null || true”
Attention : le blocage des modules esp4 et esp6 désactivera les fonctionnalités IPsec. Vérifiez au préalable si vos systèmes utilisent activement IPsec ou AFS avant d'appliquer cette mesure.
Étape 3 : vider le cache mémoire après la mise en place des mesures
L'exploit peut modifier des fichiers système légitimes présents dans le cache mémoire lors de l'obtention des privilèges root. Les mesures de mitigation seules ne suffisent donc pas sur des systèmes qui auraient pu être ciblés avant leur mise en œuvre. Après avoir appliqué les mesures de protection, videz le cache mémoire :
- sync && echo 3 > /proc/sys/vm/drop_caches
Ce qui ne fonctionne pas
La mesure de mitigation Copy Fail existante (mise sur liste noire du module algif_aead) ne protège pas contre Dirty Frag. Les systèmes ayant uniquement appliqué la mitigation Copy Fail restent entièrement vulnérables.
Conclusion
Dirty Frag représente une menace sérieuse pour tout environnement utilisant Linux : l'exploit est public, déterministe et fiable sur de nombreuses distributions. Les chercheurs soulignent que Dirty Frag illustre une tendance croissante : les vulnérabilités Linux sont de plus en plus rapidement transformées en outils d'attaque opérationnels.
La priorité absolue est l'application des correctifs du noyau. Pour les systèmes où cela n'est pas immédiatement possible, il convient de bloquer les modules vulnérables et de vider le cache mémoire. Vérifiez également si IPsec ou AFS sont utilisés avant de désactiver définitivement les modules concernés. Les environnements conteneurisés hébergeant des charges de travail de plusieurs clients ou utilisateurs nécessitent une attention particulière en raison du risque d'évasion de conteneur.