DirtyFrag: критическая уязвимость повышения привилегий в Linux

DirtyFrag: новая Linux-уязвимость позволяет повысить привилегии до root

DirtyFrag — это уязвимость local privilege escalation в ядре Linux, раскрытая 7 мая 2026 года. По данным отчета, она затрагивает все основные дистрибутивы, включая Ubuntu, RHEL, Fedora, CentOS Stream, AlmaLinux и openSUSE.

Уязвимость относится к критическому классу и эксплуатирует две ошибки записи в cache memory ядра: CVE-2026-43284, связанную с функциональностью xfrm-ESP, и CVE-2026-43500, затрагивающую протокол RxRPC. Обе проблемы относятся к семейству Dirty Pipe / Copy Fail, для которого характерны детерминированные логические ошибки без условий гонки. Это делает эксплуатацию более надежной и снижает риск падения ядра при неудачной попытке атаки.

Как работает атака

Эксплойт использует ошибку в логике ядра, позволяющую непривилегированному процессу записывать данные в memory, связанную с файлами и имеющую атрибуты read-only. В результате атакующий получает возможность изменять критически важные данные, которые в норме защищены от записи.

• Первый путь, основанный на CVE-2026-43284, требует наличия привилегий на создание namespaces.
• Он позволяет перезаписать находящийся в memory setuid-binary и получить root shell.
• Второй путь, основанный на CVE-2026-43500, не требует специальных привилегий на системах, где module RxRPC загружается по умолчанию.
• В этом сценарии злоумышленник может сделать password учетной записи root пустым и затем получить доступ к root shell через команду su.

Реакция специалистов

В Netskope Threat Labs уже отслеживают развитие эксплойта DirtyFrag, поскольку ожидается появление его вооруженных версий. В ответ на новую угрозу команда опубликовала два правила YARA, доступные в их репозитории IoC, чтобы помочь специалистам в обнаружении и смягчении последствий атаки.

«Это подчеркивает насущную необходимость для администраторов затронутых дистрибутивов Linux применить доступные исправления и использовать проактивные стратегии обнаружения для защиты от потенциальной эксплуатации этих уязвимостей».

Что это значит для администраторов

Появление DirtyFrag еще раз показывает, насколько опасны логические ошибки в ядре Linux: они способны дать атакующему полный контроль над системой без сложных условий и с высокой вероятностью успешной эксплуатации.

Администраторам затронутых дистрибутивов рекомендуется как можно скорее:

• установить доступные исправления;
• проверить использование RxRPC и связанных компонентов;
• применить правила YARA из репозитория IoC;
• усилить мониторинг попыток локального повышения привилегий.