Komunitas Linux menghadapi tantangan baru. kerentanan kritis peningkatan hak akses lokal Dijuluki Dirty Frag, penemuan itu terjadi hanya seminggu setelah putusan tersebut. Salinan GagalMasalah keamanan baru ini, dijelaskan secara detail. di GitHubHal ini memungkinkan pengguna lokal mana pun tanpa hak istimewa untuk mendapatkan akses root pada sebagian besar distribusi Linux saat ini, dan yang paling mengkhawatirkan adalah, untuk saat ini, Tidak ada patch resmi atau pengenal CVE yang ditetapkan..
Dirty Frag telah terungkap lebih awal dari jadwal setelah pelanggaran embargo keamananPihak ketiga yang tidak terkait dengan penelitian tersebut membocorkan sebagian informasi, mendorong peneliti untuk mempublikasikan detail teknis dan bukti konsep sebelum pengelola kernel dan distribusi memiliki tambalan yang siap. Hal ini menempatkan administrator sistem dalam situasi yang genting: kerentanan yang dapat dieksploitasi secara andal tanpa solusi pasti yang tersedia.
Apa itu Dirty Frag dan mengapa hal ini menimbulkan begitu banyak kekhawatiran?
Dirty Frag telah diperkenalkan sebagai penerus langsung dari Copy Fail dan termasuk dalam keluarga kerentanan yang sama dengan Dirty Pipe. Semua kerentanan ini memiliki prinsip dasar yang sama: mengeksploitasi kesalahan dalam manajemen cache halaman kernel.Artinya, salinan file yang tersimpan di memori yang dikelola Linux untuk meningkatkan kinerja.
Secara praktis, serangan tersebut mencapai hal itu. Kernel itu sendiri menimpa konten di dalam cache halaman. pada sebuah file tanpa penyerang memiliki izin tulis ke file tersebut. Penimpaan terkontrol ini menjadi primitif penulisan arbitrer yang, jika dieksploitasi dengan benar, memungkinkan peningkatan hak akses ke root hanya dengan satu kali eksekusi eksploitasi.
Menurut peneliti Korea Selatan Hyunwoo Kim (dikenal sebagai @v4bel), Dirty Frag bukanlah bug sekali saja, melainkan sebuah kelas kerentanan logis yang merupakan perluasan dari keluarga yang sama dengan Dirty Pipe dan Copy Fail. Eksploitasi ini tidak bergantung pada waktu atau kondisi persaingan (race condition), yang berarti bahwa eksploitasi ini bersifat deterministik, tidak menyebabkan kerusakan kernel jika terjadi kegagalan, dan memiliki tingkat keberhasilan yang sangat tinggi dalam sistem yang rentan.
Dua kerentanan dirangkai bersama untuk mendapatkan akses root.
Salah satu fitur utama Dirty Frag adalah bahwa game ini tidak didasarkan pada satu kegagalan tunggal, melainkan pada serangkaian kegagalan. Ini menggabungkan dua kerentanan kernel Linux yang berbeda. untuk mencapai serangan yang hampir universal terhadap sistem modern:
- xfrm-ESP Penulisan Cache Halaman – Kerentanan pada tumpukan jaringan IPsec/ESP (fungsi esp_input()), yang muncul dalam Komitmen Januari 2017 (cac2661c53f3). Memungkinkan sebuah Penyimpanan 4 byte langsung di dalam cache halaman, pada posisi dan dengan nilai yang dikendalikan oleh penyerang.
- Penulisan Cache Halaman RxRPC – Kegagalan pada subsistem RxRPC/rxkad (fungsi rxkad_verify_packet_1()), terjadi sejak Juni 2023Ia melakukan penulisan 8-byte ke cache halaman, memanfaatkan proses dekripsi, tanpa memerlukan hak istimewa untuk membuat namespace, dan kuncinya dapat berupa serangan brute force sepenuhnya dari ruang pengguna.
Kerentanan pertama ditemukan pada subsistem IPsec (xfrm) dan dieksploitasi ketika sebuah buffer soket non-linier dengan halaman yang disambung (halaman-halaman dalam cache halaman yang terkait melalui operasi seperti splice(2) o sendfile(2)) menghindari verifikasi salinan dengan menulis (skb_cow_data()Dalam skenario tersebut, jalur dekripsi cepat ESP menulis langsung ke halaman-halaman tersebut, membuka peluang untuk memodifikasi data yang dirujuk oleh proses yang tidak memiliki hak istimewa.
Dalam kasus RxRPC, jalur dekripsi menerapkan dekripsi langsung ke halaman-halaman dalam cache halaman Ini juga "dijangkar" oleh pengguna, tetapi tanpa memerlukan izin khusus seperti pembuatan namespace. Penyerang menyiapkan blok terenkripsi di ruang pengguna sedemikian rupa sehingga, ketika didekripsi oleh kernel, Hasilnya persis seperti tulisan yang diinginkan. dalam memori.
Mengapa Dirty Frag memengaruhi hampir semua distribusi?
Baik kerentanan tersebut, jika dilihat secara terpisah, tidak mencakup semua skenario. Eksploitasi xfrm-ESP membutuhkan pengguna yang tidak memiliki hak istimewa untuk dapat membuat namespace penggunaIni adalah sesuatu yang diblokir oleh AppArmor dalam beberapa konfigurasi Ubuntu. Sebaliknya, eksploitasi RxRPC tidak memerlukan namespace, tetapi modul tersebut membutuhkannya. rxrpc.ko tidak disertakan secara default. di sebagian besar distribusi perusahaan seperti versi tertentu dari RHEL.
Kunci dari Dirty Frag ada di gunakan kedua jalur eksploitasi secara saling melengkapiPada sistem yang mengizinkan namespace pengguna, varian ESP akan dipicu terlebih dahulu; di lingkungan seperti banyak instalasi Ubuntu, di mana pembuatan namespace dibatasi tetapi modul rxrpc dimuat secara default, varian RxRPC akan berperan. Dengan demikian, "Titik buta" dari satu jalur serangan ditutupi oleh jalur serangan lainnya.mencapai eksploitasi yang hampir universal.
Di antara wilayah yang dipastikan terdampak adalah: Ubuntu 24.04.4versi berbeda dari RHEL 10.1, CentOS Stream 10, AlmaLinux 10, Fedora 44 dan openSUSE TumbleweedHal ini juga berlaku untuk platform populer lainnya seperti Arch Linux atau lingkungan WSL2 di Windows. Dalam praktiknya, ini berarti bahwa sebagian besar server dan desktop Linux yang digunakan mungkin rentan jika memiliki modul dan konfigurasi yang terlibat.
Hubungan dengan Copy Fail dan kegagalan-kegagalan lain yang terjadi baru-baru ini
Dirty Frag muncul tepat setelah Copy Fail (CVE-2026-31431), yang sebelumnya telah memaksa mempercepat pembaruan di berbagai distribusi Linux dalam menghadapi kerentanan peningkatan hak akses yang sedang dieksploitasi secara aktif. Keduanya memiliki gagasan yang sama yaitu menyalahgunakan cache halaman dan jalur I/O cepat, tetapi Dirty Frag memiliki keunggulan yang mengkhawatirkan: Fitur ini bahkan berfungsi pada sistem yang telah menerapkan mitigasi Kegagalan Penyalinan., seperti kunci modul algif_aead atau kebijakan Penguncian Kernel.
Peneliti tersebut menunjukkan bahwa Dirty Frag dapat dipicu. terlepas dari apakah modul algif_aead diaktifkan atau diblokir.Dengan kata lain, meskipun server produksi telah menerapkan rekomendasi Copy Fail, server tersebut tetap rentan terhadap eksploitasi baru ini sampai kernel diperbarui dengan patch khusus atau langkah-langkah mitigasi sementara diterapkan.
Dampak pada lingkungan bisnis
Dalam konteks di mana Linux banyak digunakan di pusat data, penyedia layanan cloud, dan lembaga pemerintah.Dirty Frag menimbulkan risiko eskalasi lateral yang tinggi di dalam jaringan internal. Penyerang yang memperoleh akses pengguna biasa (misalnya, melalui kredensial yang dicuri, aplikasi web yang rentan, atau layanan yang salah konfigurasi) Saya bisa mendapatkan akses root lokal dengan segera. dan tanpa perlu memanfaatkan kondisi yang rumit.
Bagi organisasi yang mengoperasikan layanan penting pada distribusi seperti Ubuntu, RHEL, CentOS Stream, Fedora, atau AlmaLinux, masalahnya tidak terbatas pada satu vendor saja: kerentanan tersebut Itu berada di dalam kernel Linux itu sendiri.Beberapa proyek, seperti AlmaLinux, sudah mulai mengerjakannya. patch awal untuk pengujianNamun, hingga tanggal publikasi ini, masih belum ada solusi resmi yang diterapkan secara luas.
Skenario ini memaksa banyak tim keamanan dan sistem untuk melakukan implementasi. tindakan sementaraTinjau inventaris server dan workstation Anda, dan prioritaskan lingkungan dengan pengguna yang memiliki shell interaktif atau kemampuan untuk menjalankan biner pada sistem, dan kredensial yang aman (misalnya, ubah kata sandi root), karena justru vektor inilah yang dieksploitasi oleh Dirty Frag.
Di manakah letak kesalahan kernel?
Secara teknis, Dirty Frag berada di dalam rute dekripsi cepat di tempat dari modul jaringan esp4, esp6, dan rxrpc kernel. Ketika paket jaringan tiba yang dibungkus dalam ESP atau melalui RxRPC, jalur penerima mencoba untuk mendekripsinya tanpa salinan data tambahan untuk mendapatkan kinerja yang lebih baik.
Masalah muncul ketika paket-paket tersebut berisi fragmen memori berhalaman yang tidak dimiliki secara eksklusif oleh kernel., seperti halaman-halaman dalam cache halaman yang terkait dengan operasi splice o MSG_SPLICE_PAGESAlih-alih bekerja pada buffer pribadi, kernel tulis langsung di halaman bersama tersebutyang masih dirujuk oleh proses pengguna yang tidak memiliki hak istimewa. Hal ini mengekspos teks asli data atau, lebih buruk lagi, memungkinkan terjadinya perusakan data secara sengaja.
Menurut analisis yang dipublikasikan di milis keamanan seperti keamanan OSS dan pengembangan jaringanKomitmen Januari 2017 yang memperkenalkan kerentanan xfrm-ESP juga merupakan akar dari kerentanan buffer overflow sebelumnya (CVE-2022-27666), menunjukkan bahwa Perubahan kode yang sama telah menimbulkan beberapa masalah keamanan. pada tahun-tahun ini.
Tidak adanya tambalan dan pelanggaran embargo
Dirty Frag dilaporkan secara pribadi ke Para pengelola kernel Linux pada 30 April 2026Rencana awalnya adalah merahasiakan informasi tersebut hingga pertengahan Mei untuk memberikan waktu mempersiapkan patch, mengoordinasikan perilisannya dengan distributor, dan meminimalkan jangka waktu paparan.
Namun, pihak ketiga yang tidak terkait dengan proses koordinasi tersebut menerbitkan Detail eksploitasi ESP pada 7 Meimelanggar embargo. Menghadapi situasi ini, peneliti memutuskan untuk mempublikasikan informasi lengkap, termasuk Bukti konsep fungsional yang mampu mendapatkan akses root hanya dengan satu perintah.Akibatnya, sebagian besar distributor dan seluruh dunia terpaksa bereaksi secara mendadak, tanpa memiliki solusi yang siap.
Pada saat pengungkapan, Tidak ada patch resmi di pohon kernel utama. Tidak ada pula versi terbaru yang didistribusikan oleh vendor-vendor besar. Beberapa penyedia, seperti AlmaLinux, telah merilis patch pendahuluan untuk pengujian internal, tetapi administrator masih mengandalkan terutama pada langkah-langkah mitigasi tingkat konfigurasi.
Cara mengurangi Dirty Frag sambil menunggu patch.
Jika tidak ada pembaruan segera, rekomendasi umum dari komunitas keamanan adalah... memblokir atau menonaktifkan modul kernel yang terlibat dalam putusan tersebut: esp4, esp6 y rxrpcHal ini mencegah rute yang rentan dimuat atau digunakan, sehingga secara drastis mengurangi potensi serangan.
Untuk sebagian besar sistem desktop dan server tujuan umum, modul-modul ini mereka tidak pentingkarena pada dasarnya terkait dengan fungsi IPsec (enkripsi lalu lintas jaringan) dan RxRPC, mekanisme panggilan prosedur jarak jauh yang kurang umum dalam penerapan standar. Namun, di lingkungan yang menggunakan VPN IPsec berbasis ESP atau layanan spesifik lainnya; menonaktifkannya dapat memengaruhi konektivitas, dan risikonya harus dinilai.
Cara cepat dan otomatis untuk menerapkan mitigasi ini adalah dengan membuat konfigurasi modprobe yang memaksa penggantian modul yang rentan dengan biner yang tidak berbahaya, dan menghapus instalasinya jika modul tersebut sudah aktif. Berbagai sumber keamanan telah membagikan baris perintah yang mirip dengan berikut ini:
sudo sh -c "printf 'install esp4 /bin/false
install esp6 /bin/false
install rxrpc /bin/false
' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"Perintah ini membuat file /etc/modprobe.d/dirtyfrag.conf dengan aturan yang mencegah modul esp4, esp6 y rxrpc Muat ulang data tersebut, lalu coba bongkar jika data tersebut sudah ada di memori. Untuk sebagian besar server web, basis data, atau aplikasi bisnis umum dalam infrastruktur, Seharusnya tidak menimbulkan gangguan.Namun, selalu disarankan untuk melakukan pengujian di lingkungan pra-produksi terlebih dahulu.
Pembuktian konsep dan risiko eksploitasi di dunia nyata
Bersamaan dengan perilisan publik Dirty Frag, peneliti tersebut telah menerbitkan sebuah repositori berisi kode bukti konsep.Hal ini memungkinkan eksploitasi untuk dikompilasi dan dieksekusi dengan beberapa perintah. Binary yang dihasilkan menggabungkan dua jalur serangan (ESP dan RxRPC) dan, pada sistem yang rentan, langsung meningkatkan hak akses pengguna saat ini menjadi root.
Beberapa sumber teknis yang telah menganalisis kegagalan tersebut menunjukkan bahwa mereka telah mampu untuk mereproduksi kerentanan di berbagai distribusiIni termasuk instalasi Arch Linux yang telah diperbarui dan sistem dengan kernel utama terbaru. Bahkan telah diamati bahwa lingkungan seperti WSL2, yang semakin banyak digunakan oleh pengembang, menunjukkan perilaku yang sama jika kernel yang mendasarinya memenuhi persyaratan yang diperlukan.
Kombinasi antara celah keamanan publik yang mudah digunakan dan sebuah jendela tanpa tambalan tersedia Hal ini meningkatkan kemungkinan bahwa kelompok jahat akan mencoba mengintegrasikan Dirty Frag ke dalam rantai serangan mereka. Bagi banyak organisasi, ini berarti perlu segera meninjau kontrol akses mereka, memperkuat segmentasi jaringan internal, dan meningkatkan pemantauan aktivitas mencurigakan pada server Linux.
Tanggapan distribusi dan langkah selanjutnya
Meskipun pengumuman tersebut mengejutkan sebagian besar ekosistem, beberapa penyedia sistem Linux telah mulai mengerjakan patch khusus untuk rute dekripsi yang terpengaruh.Peneliti itu sendiri mengirimkan perbaikan untuk bagian RxRPC ke milis. netdev Pada akhir April, dan diharapkan solusi tersebut akan diintegrasikan ke dalam cabang kernel yang stabil dalam beberapa hari atau minggu mendatang.
Dalam kasus distribusi dengan kehadiran yang kuat, seperti Ubuntu, Debian, RHEL, SUSE, openSUSE, Fedora atau AlmaLinuxFokusnya adalah memberikan pembaruan kernel yang telah diuji dengan benar melalui saluran keamanan yang biasa mereka gunakan. Sementara itu, administrator dan manajer TI didesak untuk pantau dengan saksama peringatan keamanan Terapkan pembaruan segera setelah tersedia di repositori resmi.
Pengalaman terkini dengan Dirty Pipe, Copy Fail, dan sekarang Dirty Frag menyoroti kebutuhan akan Tingkatkan tinjauan keamanan di bagian-bagian penting kernel.khususnya di area berkinerja tinggi seperti jalur jaringan dan I/O yang cepat, di mana optimasi agresif dapat menimbulkan kesalahan yang halus namun sangat berbahaya.
Kemunculan Dirty Frag, bersama dengan bug-bug terbaru lainnya, sekali lagi menyoroti pentingnya pemeliharaan. kebijakan pembaruan yang tangkas dan kontrol pertahanan berlapis. pada infrastruktur Linux apa pun. Meskipun masih belum ada tambalan pasti untuk kerentanan ini, menonaktifkan modul yang terlibat, memantau sistem, dan bersiap untuk segera menerapkan pembaruan kernel di masa mendatang telah menjadi rencana darurat terbaik untuk meminimalkan dampak dari vektor serangan baru ini.
