Dalam beberapa minggu terakhir, dunia Linux diguncang oleh kerentanan baru yang, bagi banyak administrator, merupakan pukulan terakhir dalam serangkaian kelemahan kernel yang kritis. Kita sedang membicarakan tentang... Fragnesia, sebuah eksploitasi peningkatan hak akses lokal. yang menambah daftar kegagalan yang sudah diketahui Salinan Gagal y Fragmen Kotor, dan hal itu memungkinkan pengguna yang tidak memiliki hak istimewa untuk mendapatkan akses root hanya dengan satu perintah pada sistem yang rentan.
Setelah Copy Fail dan Dirty Frag, Fragnesia hadir di tengah kelelahan akibat pembaruan yang terus-menerus: pembaruan mendesak, reboot berulang, dan mitigasi darurat. Namun, mengabaikannya bukanlah pilihan. Kerentanan ini memengaruhi berbagai distribusi Linux dan versi kernel.Sebuah contoh konsep publik yang berfungsi penuh sudah ada. Dalam artikel ini, kita akan membahas apa itu Fragnesia, bagaimana serangan ini bekerja, distribusi mana yang terpengaruh, tambalan dan mitigasi apa yang ada, dan bagaimana cara memeriksa apakah sistem Anda terlindungi.
Apa itu Fragnesia dan mengapa hal itu terkait dengan Dirty Frag dan Copy Fail?
Fragnesia adalah sebuah eksploitasi peningkatan hak akses lokal (LPE) baru Kerentanan ini terdapat pada kernel Linux yang termasuk dalam keluarga kerentanan yang sama dengan Copy Fail (CVE-2026-31431) dan Dirty Frag (juga dikenal sebagai Copy Fail 2, CVE-2026-43284). Kerentanan ini memiliki ide dasar yang sama: mengeksploitasi kelemahan logis pada tumpukan jaringan dan manajemen memori kernel untuk mendapatkan primitif penulisan memori yang memungkinkan modifikasi file yang secara teoritis hanya dapat dibaca dan pada akhirnya mengeksekusi kode sebagai root.
Putusan tersebut telah dijuluki Fragnesia dan dilacak sebagai CVE-2026-46300dengan skor CVSS 7,8. Kerentanan ini ditemukan oleh William Bowling dari tim keamanan V12. Tak lama kemudian, Sam James mengumumkan masalah ini di milis OSS Security, mengklarifikasi bahwa ini bukan sekadar analisis ulang Dirty Frag, tetapi bug berbeda pada permukaan fungsional kernel yang sama.
Secara praktis, Fragnesia adalah kegagalan kritis ketiga jenis ini hanya dalam dua mingguCopy Fail, Dirty Frag, dan sekarang Fragnesia. Ketiganya mengeksploitasi masalah penanganan data kernel untuk merusak cache halaman file-file penting seperti... /usr/bin/suNamun Fragnesia mencapai hal ini melalui jalur lain: subsistem ESP-in-TCP dari XFRM.
Detail teknis: subsistem XFRM ESP-in-TCP dan kegagalan logika
Inti dari Fragnesia terletak di dalam sebuah kegagalan logika pada subsistem Linux XFRM ESP-in-TCPSecara spesifik, pada rute ULP (Upper Layer Protocol) yang disebut espintcp. XFRM adalah kerangka kerja kernel yang bertanggung jawab, antara lain, untuk memproses lalu lintas IPsec, dan ESP (Encapsulating Security Payload) adalah protokol yang menyediakan kerahasiaan dan otentikasi melalui enkripsi (misalnya, AES-GCM), seperti yang terjadi dengan kerentanan pada protokol jaringan CAN BCM.
Serangan ini didasarkan pada situasi kernel yang sangat spesifik: ketika soket TCP beralih ke mode ESP-in-TCP setelah halaman file ditambahkan ke antrian penerimaannya oleh panggilan seperti splice(2) o sendfile(2)Alih-alih memperlakukan data ini sebagai halaman sederhana dari sebuah file, kernel menginterpretasikannya sebagai ciphertext ESP dan menerapkan "dekripsi" padanya, sehingga memodifikasi halaman cache di tempatnya.
Sebagai konsekuensi dari kesalahan ini, kernel menyuntikkan aliran kunci AES-GCM ke dalam Halaman cache yang sesuai dengan file hanya baca.Hal ini mengakibatkan penulisan byte secara acak ke cache halaman. Dengan mengontrol IV (nonce) dan parameter lainnya, pengguna yang tidak memiliki hak istimewa dapat mengarahkan penulisan ini secara tepat. Hasilnya adalah primitif penulisan deterministik yang memungkinkan sejumlah byte yang terkontrol untuk diubah dalam file yang dapat dibaca, bahkan jika sistem file menandainya sebagai tidak dapat diubah atau hanya dapat dibaca.
Uji coba konsep publik ini berfokus pada memodifikasi biner /usr/bin/su di dalam cache halamanIa menyuntikkan stub ELF 192-byte (yang independen secara posisional) ke dalam salinan memori dari biner tersebut. Mulai saat itu, eksekusi berikutnya akan berjalan dengan cara yang berbeda. suSkrip ini akan berjalan dengan hak akses root, memungkinkan pendakian instan tanpa perlu menjalankan kondisi tertentu atau trik tambahan lainnya.
Langkah mitigasi sementara: bagaimana melindungi diri jika Anda tidak dapat memulai kembali
Meskipun direkomendasikan Instal kernel yang sudah diperbaiki dan lakukan reboot sesegera mungkin.Solusi sementara yang efektif telah dijelaskan bagi mereka yang tidak mampu melakukan reboot segera. Kabar baiknya adalah, karena Fragnesia menggunakan modul dasar yang sama (esp4, esp6, dan opsional rxrpc) seperti Dirty Frag, solusi yang diusulkan untuk Dirty Frag juga berlaku untuk Fragnesia.
Teknik ini terdiri dari memblokir pemuatan modul yang rentan dengan mengkonfigurasi modprobe dan, jika sudah dimuat, keluarkan dari memori. Ini dilakukan dengan menulis aturan di /etc/modprobe.d/ yang menggantikan pemuatan modul-modul tersebut dengan perintah-perintah yang tidak berbahaya (seperti /bin/falseKemudian seseorang memanggil rmmod tentang mereka, diam-diam mengabaikan kesalahan jika kesalahan tersebut tidak ada.
Pada distribusi seperti CloudLinux, perintah yang diusulkan untuk Dirty Frag (yang juga berfungsi dengan baik untuk Fragnesia) menghasilkan sebuah file. dirtyfrag.conf dengan aturan untuk esp4, esp6 y rxrpcHal ini juga mencoba untuk membongkar modul aktif. Jika Anda telah menerapkan mitigasi ini untuk Dirty Frag, Anda tidak perlu melakukan hal lain untuk Fragenesis. sampai Anda memasang kernel yang telah diperbaiki, karena celah keamanan juga telah dinetralisir.
Kompatibilitas penting untuk dipertimbangkan: esp4 dan esp6 adalah transformasi kernel untuk IPsec.Menonaktifkannya akan merusak terowongan IPsec yang bergantung pada jalur data kernel (misalnya, strongSwan atau Libreswan). Disarankan untuk tidak menggunakan mitigasi ini pada host yang mengakhiri atau merutekan lalu lintas IPsec kritis. Modul ini rxrpc Ini adalah protokol transport AF_RXRPC, yang hampir secara eksklusif digunakan oleh klien AFS, dan jarang terdapat pada server web atau skenario tujuan umum lainnya.
Pulihkan cache halaman setelah menerapkan mitigasi.
Hal lain yang sering diabaikan adalah bahwa celah keamanan tersebut, jika berhasil, dapat meninggalkan jejak di memori. salinan biner yang dimodifikasi di dalam cache halaman.Contoh yang paling umum adalah /usr/bin/suNamun, binary dengan hak akses istimewa lainnya dapat terpengaruh jika penyerang memutuskan untuk mengubah target.
Oleh karena itu, beberapa saran merekomendasikan agar, setelah menerapkan mitigasi daftar hitam modul, Anda melanjutkan ke bersihkan cache halaman sistem untuk memaksa pemuatan ulang bersih dari disk. Ini dapat dicapai dengan menulis ke /proc/sys/vm/drop_caches Nilai yang memberi tahu kernel untuk melepaskan cache halaman dan dentries/inodes. Operasi ini hanya menghapus halaman yang bersih, sehingga aman dalam sistem produksi, meskipun dapat menyebabkan peningkatan sementara pada I/O disk ketika biner dan data dibaca lagi.
Idenya sederhana: jika sebuah contoh Fragnesia telah dieksekusi sebelum mitigasi, Halaman yang rusak akan dibuang dan versi disk yang tidak diubah akan digunakan kembali.Dikombinasikan dengan daftar hitam modul, langkah ini mengurangi risiko bahwa kemungkinan modifikasi residual dalam cache masih dapat dieksploitasi atau menyebabkan perilaku yang tidak menentu pada sistem.
Status patch dan rekomendasi pemasok
Sebagian besar pemain utama dalam ekosistem Linux telah merespons dengan cepat penemuan Fragnesia. Distribusi seperti AlmaLinux dan CloudLinux telah kernel yang telah diterbitkan atau sedang dalam tahap finalisasi telah diperbaiki.Red Hat telah mengindikasikan bahwa mereka sedang mengevaluasi sejauh mana mitigasi yang ada untuk kerentanan sebelumnya juga mencakup CVE-2026-46300.
Beberapa vendor keamanan, termasuk perusahaan yang terkait dengan Google dan Microsoft, telah menerbitkan analisis yang menjelaskan bahwa Kerentanan ini memungkinkan penyerang lokal yang tidak memiliki hak akses istimewa untuk memodifikasi isi file yang hanya dapat dibaca di dalam cache halaman. dan meningkat ke tingkat root melalui kerusakan memori deterministik. Wiz, misalnya, menunjukkan bahwa AppArmor dan pembatasan pada namespace pengguna yang tidak memiliki hak istimewa dapat mengurangi dampaknya sebagian dengan memerlukan teknik tambahan untuk berhasil mengeksploitasi bug di beberapa lingkungan.
Microsoft, di pihak lain, menunjukkan bahwa Tidak ada eksploitasi aktif di alam liar yang diamati pada saat pernyataan mereka dibuat.Namun, mereka tetap mendesak pengguna untuk menerapkan patch sesegera mungkin setelah tersedia, menggunakan alat pembaruan biasa. Jika penerapan patch segera tidak memungkinkan, mereka merekomendasikan untuk menerapkan mitigasi yang sama seperti yang diusulkan untuk Dirty Frag: menonaktifkan esp4, esp6, dan fungsi terkait IPsec/XFRM yang tidak penting, memperkuat akses lokal interaktif, dan memperkuat pemantauan terhadap aktivitas peningkatan hak akses yang tidak biasa.
Konteks ancaman: pasar eksploitasi dan kelelahan akan pembaruan perangkat lunak.
Penemuan Fragnesia terjadi dalam konteks di mana Eksploitasi kerentanan eskalasi lokal di Linux semakin meningkat nilainya di pasar gelap.Laporan terbaru menyebutkan seorang pelaku, dengan alias “berz0k”, menawarkan kerentanan eskalasi lokal zero-day di Linux seharga $170.000, yang konon berfungsi di berbagai distribusi. Menurut ThreatMon, penjual mengklaim kerentanan tersebut berjenis TOCTOU (Time-of-Check Time-of-Use), memungkinkan eskalasi stabil tanpa menyebabkan crash, dan menggunakan payload berupa pustaka bersama..so) dikerahkan di /tmp.
Semua ini memicu perasaan akan kejenuhan dan kelelahan Banyak administrator mengungkapkan rasa frustrasi mereka: “Kerentanan lain dalam kategori yang sama dengan Dirty Frag,” atau “Delapan lagi seperti ini dan saya akan berhenti,” beberapa berkomentar setengah bercanda, setengah serius. Kenyataannya adalah bahwa serangkaian kerentanan Copy Fail, Dirty Frag, dan Fragnesia memaksa tim sistem untuk memikirkan kembali strategi pembaruan kernel mereka, terutama di lingkungan di mana reboot yang sering sangat mahal.
Dalam konteks ini, solusi patching langsung seperti KernelCare atau mekanisme serupa semakin populer karena Alternatif untuk menerapkan perbaikan penting tanpa mengganggu layanan.Sementara itu, distribusi berada di bawah tekanan untuk mempersingkat waktu antara penemuan, rilis perbaikan dari sumber utama, dan ketersediaan paket yang telah diperbaiki di repositori stabil sebisa mungkin.
Pada akhirnya, Fragenesis telah menjadi studi kasus tentang bagaimana sepotong kecil logika dalam subsistem khusus seperti XFRM ESP-in-TCP dapat memiliki pengaruh yang besar. Konsekuensi yang menghancurkan jika dikombinasikan dengan mekanisme caching halaman dan binary yang memiliki hak istimewa.Memantau terus peringatan keamanan, milis, blog distribusi, dan saluran komunikasi seperti Mattermost atau X (sebelumnya Twitter) sangat penting untuk bereaksi dengan cepat dan meminimalkan peluang terpaparnya kerentanan.
Ancaman yang ditimbulkan oleh Fragnesia tidak hanya terletak pada kemampuannya untuk memberikan akses root dengan satu perintah, tetapi juga pada kenyataan bahwa hal itu menunjukkan sejauh mana lingkungan Linux modern bergantung pada hal tersebut. rantai kepercayaan yang kompleks yang membentang dari kode kernel hingga alat pembaruan dan kebijakan pengerasan keamanan.Perlindungan yang optimal melibatkan kombinasi antara patch resmi, mitigasi yang dipahami dengan baik, solusi livepatch jika diperlukan, dan kebijakan yang jelas tentang kontrol akses dan pemantauan lokal, sehingga kegagalan jenis ini tidak menjadi titik kegagalan tunggal bagi seluruh infrastruktur.
