Panoramica #
È stata scoperta una nuova vulnerabilità di escalation dei privilegi locali nel kernel Linux, nota come Fragnesia, identificata con il codice CVE-2026-46300.
Fragnesia appartiene alla stessa classe di vulnerabilità recentemente divulgata: Profumo sporco and Errore di copia.
La vulnerabilità interessa il sottosistema XFRM/ESP-in-TCP del kernel Linux, consentendo potenzialmente a un utente locale non privilegiato di ottenere i privilegi di root tramite un danneggiamento controllato della cache di pagina.
Dettagli sulla vulnerabilità #
CVE:CVE-2026-46300
NomeFragnesia
Tipo: Escalation dei privilegi locali
Componente interessato: Kernel Linux XFRM ESP-in-TCP
Vettore di attacco: Locale
Privilegi richiesti: Basso
Interazione dell'utente: Nessuno
Impact
: Escalation dei privilegi di root
Descrizione tecnica #
La vulnerabilità esiste nella gestione del kernel Linux ESP-in-TCP (XFRM/IPsec) Durante specifiche condizioni di gestione dei pacchetti che coinvolgono: splice(), sendfile(), riferimenti alla cache di pagine ed elaborazione dei pacchetti ESP/XFRM, il kernel potrebbe manipolare in modo errato la memoria condivisa della cache di pagine, consentendo la modifica controllata di file memorizzati nella cache in sola lettura.
I ricercatori hanno persino dimostrato la capacità di sovrascrivere i contenuti memorizzati nella cache di /usr/bin/su per ottenere i privilegi di root senza modificare il file effettivamente presente sul disco.
Relazione con Dirty Frag #
Fragnesia è considerata parte del Classe di vulnerabilità Dirty Frag e influisce sulla stessa superficie di rete del kernel Linux: elaborazione XFRM, ESP e IPsec.
Infatti, i ricercatori hanno indicato che la vulnerabilità è diventata sfruttabile dopo che una delle correzioni per Dirty Frag ha esposto un percorso di codice correlato.
RELIANOID Valutazione di impatto #
Predefinito RELIANOID Le installazioni di bilanciatori di carico sono considerate a basso rischio perché:
- RELIANOID non utilizza la funzionalità vulnerabile per impostazione predefinita
- I moduli ESP/XFRM non sono necessari per le operazioni standard di ADC/bilanciamento del carico.
- Le tipiche infrastrutture HTTP/HTTPS/TCP/UDP non sono interessate
Impatto del modulo VPN/IPsec #
RELIANOID ambienti che utilizzano Rete > VPN or VPN basata su IPsec La funzionalità potrebbe caricare dinamicamente i moduli del kernel Linux interessati. I moduli potenzialmente interessati includono: esp4, esp6, xfrm_user e xfrm_algo.
Pertanto, il rischio per RELIANOID La caratteristica è la seguente:
Bilanciamento del carico standard: Basso
Farm HTTP/HTTPS Basso
fattorie L4: Basso
GSLB: Basso
IPDS: Basso
Modulo VPN IPsec: Potenzialmente interessato
Come verificare i moduli interessati #
Verifica se sono caricati moduli vulnerabili:
lsmod | egrep 'esp4|esp6|xfrm'
Esempio di output vulnerabile:
esp4 esp6 xfrm_user
Se non vengono visualizzati moduli, la funzionalità vulnerabile non è attualmente attiva.
Verifica l'utilizzo attivo di IPsec #
È inoltre possibile verificare le policy IPsec/XFRM attive:
stato di interscambio IP policy di interscambio IP
Se il campo è vuoto, è probabile che IPsec non sia in uso.
Mitigazione temporanea #
Se la funzionalità VPN IPsec NON è necessaria, i moduli interessati possono essere disabilitati.
Creare:
/etc/modprobe.d/fragnesia.conf
con:
installa esp4 /bin/false installa esp6 /bin/false installa rxrpc /bin/false
Disinstalla i moduli e svuota la cache se sono già attivi:
modprobe -r esp4 esp6 xfrm_user xfrm_algo sync; echo 3 > /proc/sys/vm/drop_caches
Questa misura di mitigazione è la stessa ufficialmente raccomandata per Dirty Frag.
Avviso importante: NON applicare questa mitigazione se RELIANOID sta utilizzando attivamente tunnel VPN IPsec, trasporto ESP o servizi basati su XFRM. In caso contrario, i servizi VPN potrebbero smettere di funzionare.
RELIANOID Consigli #
RELIANOID Si consiglia ai clienti di:
- Verificare se i moduli IPsec/XFRM sono attivi.
- Applica gli aggiornamenti non appena disponibili.
- Se possibile, disabilitare i moduli ESP/XFRM non utilizzati.
- Esaminare il software di terze parti installato sull'apparecchio.
Le patch per correggere questa vulnerabilità saranno fornite nelle versioni EE > 8.5.
