Root access voor lokale gebruikers
Wat is Dirty Frag?
Dirty Frag is een nieuwe Linux zero-daykwetsbaarheid waarmee lokale aanvallers rootrechten kunnen verkrijgen op de meeste gangbare Linux-distributies met behulp van één enkel commando. De kwetsbaarheid bestaat uit twee gekoppelde CVE's (CVE-2026-43284 en CVE-2026-43500) die samen een ernstige kwetsbaarheid voor Local Privilege Escalation (LPE) in de Linux-kernel vormen. Er was bovendien al een publieke exploit beschikbaar voordat beveiligingspatches werden uitgerold.
De aanval maakt misbruik van het zogenaamde zero-copy send path, waarbij splice() een verwijzing naar een alleen-lezen pagina uit de page cache, zoals /etc/passwd of /usr/bin/su, in een netwerkbuffer plaatst. Vervolgens voert de kernel cryptografische bewerkingen rechtstreeks uit op deze pagina, waardoor deze permanent in het RAM-geheugen wordt gewijzigd. Elke daaropvolgende leesactie van dat bestand krijgt de gewijzigde versie te zien, hoewel de aanvaller oorspronkelijk enkel leesrechten had.
Omdat het gaat om een deterministische logische fout zonder raceconditie, is er geen timingvenster nodig, crasht de kernel niet bij een mislukte poging en is de kans op succes bijzonder hoog.
De doelstellingen van de Dirty Frag-exploit
Het primaire doel van deze dreiging is Local Privilege Escalation (LPE): een gebruiker met beperkte rechten op een Linux-systeem verhoogt zijn of haar rechten tot rootniveau. Dit stelt aanvallers die reeds beperkte toegang hebben verkregen via gestolen inloggegevens, phishing of een andere compromittering in staat om volledige controle over een systeem te verkrijgen.
Op systemen zonder containerworkloads stelt de exploit een lokale gebruiker in staat rootrechten te verkrijgen. In containeromgevingen waarin willekeurige workloads van derden worden uitgevoerd, kan de kwetsbaarheid bovendien leiden tot een container escape, naast privilege-escalatie op de host.
De exploit bevat twee aanvalspaden die elkaars beperkingen opvangen: eerst wordt het ESP-pad geprobeerd. Als unshare(CLONE_NEWUSER) mislukt, schakelt de exploit automatisch over naar het RxRPC-pad, waarbij /etc/passwd wordt aangevallen.
Wat wordt geviseerd?
Getroffen distributies zijn onder meer Red Hat Enterprise Linux, AlmaLinux, Debian, Ubuntu, Fedora, Arch Linux, CentOS, CloudLinux, Amazon Linux, en andere distributies. In de praktijk betekent dit dat vrijwel elke productieomgeving op Linux die nog niet gepatcht is, kwetsbaar kan zijn.
De ESP-kwetsbaarheid (CVE-2026-43284) werd reeds in januari 2017 geïntroduceerd, waardoor deze kwetsbaarheidsketen bijna negen jaar lang aanwezig was.
De openbaarmaking werd versneld doordat een derde partij het embargo schond. Onderzoeker Hyunwoo Kim meldde beide kwetsbaarheden vertrouwelijk op 29 en 30 april 2026, maar zag zich genoodzaakt om op 7 mei 2026 de volledige documentatie en de Proof of Concept (PoC) openbaar te maken nadat een derde partij de informatie voortijdig had gelekt, nog voordat patches beschikbaar waren.
Preventie: patchen of tijdelijke risicobeperking
Stap 1: Patch zo snel mogelijk
Voor AlmaLinux zijn gepatchte kernels beschikbaar in de productie-repositories sinds 8 mei 2026. Voer de volgende opdracht uit en herstart het systeem: sudo dnf clean metadata && sudo dnf upgrade kernel && sudo reboot. Controleer na het herstarten of de gepatchte kernel actief is: uname -r. Raadpleeg de beveiligingsadviezen van uw Linux-distributie voor gelijkwaardige instructies.
Stap 2: Tijdelijke mitigatie indien onmiddellijke patching niet mogelijk is
Blacklist de kwetsbare kernelmodules:
- “echo "install esp4 /bin/false" >> /etc/modprobe.d/dirtyfrag.conf”
- “echo "install esp6 /bin/false" >> /etc/modprobe.d/dirtyfrag.conf”
- “echo "install rxrpc /bin/false" >> /etc/modprobe.d/dirtyfrag.conf”
- “modprobe -r esp4 esp6 rxrpc 2>/dev/null || true”
Houd er rekening mee dat het blokkeren van esp4 en esp6 de werking van IPsec verstoort. Controleer daarom vooraf of uw systemen actief gebruikmaken van IPsec of AFS voordat u deze maatregel toepast.
Stap 3: Leeg de page cache na de mitigatie
De exploit kan legitieme systeembestanden wijzigen in de page cache tijdens het verkrijgen van rootrechten. Enkel mitigeren is daarom onvoldoende op systemen die mogelijk al werden aangevallen voordat de maatregelen werden toegepast. Leeg na de mitigatie de page cache:
- sync && echo 3 > /proc/sys/vm/drop_caches
Wat werkt niet?
De bestaande Copy Fail-mitigatie (het blacklisten van algif_aead) biedt geen bescherming tegen Dirty Frag. Systemen waarop uitsluitend de Copy Fail-mitigatie werd toegepast, blijven volledig kwetsbaar.
Conclusie
Dirty Frag vormt een ernstige bedreiging voor elke omgeving die Linux gebruikt. De exploit is publiek beschikbaar, deterministisch en betrouwbaar op verschillende Linux-distributies. Onderzoekers waarschuwen dat Dirty Frag een groeiende trend illustreert waarbij Linux-kwetsbaarheden steeds sneller worden omgezet in praktisch inzetbare aanvalstools.
De hoogste prioriteit is het installeren van kernelpatches. Voor systemen waarbij dit niet onmiddellijk mogelijk is, moeten de kwetsbare modules worden geblokkeerd en dient de page cache te worden geleegd. Controleer vooraf of IPsec of AFS in gebruik is voordat de modules permanent worden uitgeschakeld. Containeromgevingen met workloads van meerdere gebruikers of organisaties verdienen extra aandacht vanwege het risico op container escapes.