Vulnerabilità del kernel Linux CVE-2026-43284 e CVE-2026-43500 (Dirty Frag)

Panoramica #

Questo articolo fornisce ulteriori dettagli tecnici riguardanti le vulnerabilità del kernel Linux:

CVE-2026-43284
CVE-2026-43500

Queste vulnerabilità sono collettivamente denominate Profumo sporco e influenzano specifici percorsi di gestione dei pacchetti del kernel Linux associati a:

XFRM/IPsec
ESP (incapsulamento del carico utile di sicurezza)
Frammenti di buffer di socket condivisi (frammenti skb)
Gestione della giunzione dei pacchetti UDP

Riferimenti ufficiali:

NVD – CVE-2026-43284
NVD – CVE-2026-43500

Background tecnico #

CVE-2026-43284 #

Secondo i manutentori del kernel Linux, la vulnerabilità deriva da una gestione impropria di:

Frammenti skb condivisi
Gestione delle pagine di giunzione UDP
Operazioni di decrittazione in loco ESP

Il problema si verifica perché:

MSG_SPLICE_PAGES può allegare pagine di proprietà esterna direttamente nei buffer dei pacchetti

I percorsi UDP non sono riusciti a contrassegnare quei frammenti come condivisi utilizzando: SKBFL_SHARED_FRAG

Come conseguenza:

L'elaborazione ESP presuppone erroneamente che i dati del pacchetto siano di proprietà privata.
La decrittazione ESP può avvenire direttamente sulla memoria condivisa.
Potrebbero verificarsi danneggiamenti della memoria o modifiche involontarie dei dati.

La correzione del kernel upstream introduce:

Tracciamento corretto della proprietà dei frammenti
Ulteriori protezioni copy-on-write
Comportamento di fallback più sicuro tramite: skb_cow_data()

CVE-2026-43500 #

Al momento della stesura di questo articolo:

Il codice CVE-2026-43500 rimane in stato di Riservato
I dettagli tecnici resi pubblici sono ancora limitati

Tuttavia, è associato alla stessa famiglia di vulnerabilità Dirty Frag e allo stesso sottosistema di rete del kernel.

RELIANOID Analisi dell'esposizione #

Standard RELIANOID Distribuzioni #

RELIANOID di per sé non utilizza:

Elaborazione personalizzata della pagina di giunzione UDP
Manipolazione di pacchetti ESP non elaborati
Interazioni dirette con il kernel XFRM

Pertanto, standard RELIANOID Le implementazioni non sono esposte in condizioni operative normali.

VPN configurata RELIANOID Distribuzioni #

RELIANOID implementazioni in cui la funzionalità VPN (Rete > VPN) o se sono abilitate configurazioni VPN personalizzate, potrebbe essere utilizzata la funzionalità IPsec/XFRM di Linux a seconda della configurazione VPN.

Questo significa:

I moduli del kernel relativi a IPsec possono essere caricati quando le funzionalità VPN/IPsec sono abilitate.
I moduli ESP/XFRM potrebbero attivarsi
I percorsi del kernel interessati potrebbero teoricamente diventare raggiungibili

Moduli potenzialmente caricati #

Quando si configura la funzionalità VPN/IPsec, potrebbero comparire i seguenti moduli:

esp4
esp6
xfrm_user
xfrm_algo
xfrm4_mode_transport
xfrm4_mode_tunnel
xfrm6_mode_transport
xfrm6_mode_tunnel

Valutazione del rischio per RELIANOID Utenti VPN #

In questo momento:

Non è noto alcuno sfruttamento attivo contro RELIANOID sono state identificate le implementazioni VPN
Le condizioni di sfruttamento appaiono altamente specifiche
La vulnerabilità richiede complesse condizioni di gestione dei pacchetti che coinvolgono frammenti skb condivisi

Tuttavia, i sistemi che utilizzano attivamente la funzionalità VPN IPsec dovrebbero essere considerati potenzialmente esposti fino all'applicazione delle patch al kernel.

Come determinare se RELIANOID La VPN utilizza IPsec #

Verifica i moduli caricati:

lsmod | egrep 'esp|xfrm'

Verifica lo stato attivo di IPsec #

stato di trasformazione IP

Verifica le policy IPsec attive #

policy ip xfrm

Se sono presenti tunnel VPN attivi, potrebbe apparire un output simile al seguente:

src 10.0.0.1 dst 10.0.1.1 proto esp spi 0x00000001

Raccomandazioni per la mitigazione #

Sistemi che NON utilizzano VPN/IPsec #

Se la funzionalità VPN non è necessaria:

Scarica i moduli e pulisci le cache

modprobe -r esp4 esp6 xfrm_user xfrm_algo sync; echo 3 > /proc/sys/vm/drop_caches

Moduli della lista nera

Creare:

/etc/modprobe.d/disable-xfrm.conf

Contenuto:

blacklist esp4 blacklist esp6 blacklist xfrm_user blacklist xfrm_algo blacklist xfrm4_mode_transport blacklist xfrm4_mode_tunnel blacklist xfrm6_mode_transport blacklist xfrm6_mode_tunnel

Sistemi che utilizzano RELIANOID VPN/IPsec #

Se il modulo VPN è in uso attivo:

Azioni raccomandate

Applicare immediatamente gli aggiornamenti del kernel del fornitore non appena disponibili.
Limita l'accesso alla VPN solo ai peer fidati.
Limita i software di terze parti non necessari.
Monitorare RELIANOID avvisi di sicurezza
Monitorare comportamenti anomali del kernel/della rete

Le patch per correggere questa vulnerabilità saranno fornite nelle versioni EE > 8.5.

Ulteriori raccomandazioni per l'indurimento #

Limita le fonti di pacchetti non attendibili #

Utilizzare le regole del firewall per limitare:

Esposizione pubblica all'ESP
Traffico di incapsulamento UDP non attendibile
peer VPN esterni

Ridurre al minimo l'interazione con kernel di terze parti #

Evitare:

Framework personalizzati per la manipolazione dei pacchetti
Software di rete non affidabile
Moduli kernel sperimentali

Validazione dopo la mitigazione #

Verificare che i moduli interessati non siano caricati:

lsmod | egrep 'esp|xfrm'

Risultato atteso:

(nessun output)

Sintesi #

Le vulnerabilità di Dirty Frag CVE-2026-43284 and CVE-2026-43500 influenzano l'elaborazione ESP/XFRM del kernel Linux associata alla rete IPsec.

Chiarimento chiave

Standard RELIANOID La funzionalità di bilanciamento del carico non è interessata
Tuttavia, la RELIANOID Il modulo VPN/IPsec potrebbe caricare i moduli del kernel interessati
Sistemi che utilizzano: Rete > VPN o le configurazioni VPN personalizzate dovrebbero valutare l'esposizione e applicare le misure di mitigazione di conseguenza.

RELIANOID consiglia:

Disabilitazione delle funzionalità IPsec non utilizzate
Applicazione degli aggiornamenti del kernel del fornitore
Limitare l'esposizione dei servizi VPN
Monitoraggio degli avvisi ufficiali di sicurezza del kernel