CVE-2026-43284

• Dirty Frag - xfrm-ESP 共享片段被原地解密，导致文件页缓存被修改，可用于本地提权
• Dirty Frag 原始披露还包含 CVE-2026-43500 的 RxRPC 路径；两者有独立的根因与利用条件
• Dirty Frag 公开披露：2026-05-07；本 CVE 记录公开：2026-05-08
• 上游根因引入版本：Linux 4.11；公开利用还依赖具体协议与内核功能
• 严重性：CVSS 3.1 8.8 High（Linux CNA）
  • CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

成因与利用条件

• IPv4/IPv6 datagram 路径引用外部页时未正确标记 SKBFL_SHARED_FRAG，ESP 接收路径因而可能跳过写时复制，在共享片段上进行原地密码处理
• 文件页缓存被当成私有网络缓冲区写入，可绕过普通文件写权限，进一步修改特权程序使用的内容
• 需要本地执行能力、可读目标文件，以及可用的 ESP/XFRM 功能；公开路径使用 ESP-in-UDP
• 配置 XFRM SA 需要目标网络命名空间中的 CAP_NET_ADMIN
  • 允许创建非特权用户及网络命名空间时，普通用户可能在新命名空间中取得所需能力
  • 已有相应能力的任务不依赖重新创建用户命名空间
• 影响首先发生在共享页缓存；不能因为磁盘文件未变化或 ESP 认证失败就排除风险

修复与缓解

• 5.15.205、6.1.171 已带初始回补，但错误地设置了 tx_flags 而不是 flags；后续 5.15.206、6.1.172 修正，不能只依据初始回补判断修复完整
• 修复在 datagram 路径标记共享片段，ESP 遇到共享片段时先执行写时复制
• 优先运行发行版提供的已修复内核；此表不覆盖所有厂商的内核回补版本
• 不使用 IPsec 时，使 esp4、esp6 真正不可用可阻断该协议路径，但会影响 IPsec/VPN
• 限制非特权用户命名空间可阻断普通用户取得相关能力的一条路径，不能覆盖已经拥有能力的任务
• 禁用 ESP 或用户命名空间不覆盖 RxRPC；本条补丁也不覆盖后续披露的 Fragnesia

PoC

• 原作者 V4bel/dirtyfrag 的 exp.c 同时包含本 CVE 的 ESP 路径和 CVE-2026-43500 的 RxRPC 路径
• --force-esp 用于选择 ESP 路径；默认模式先尝试 ESP，未成功后可能回退 RxRPC
  • 默认程序成功不能单独证明 ESP 路径可利用，需要核对实际使用的分支
• ESP 演示会修改 /usr/bin/su 的页缓存并继续尝试启动特权会话，不是只读探测
• 直观现象：网络协议处理改变了只读文件在后续执行时看到的内容，而不要求先有该文件的写权限

参考

• CVE 官方记录：Linux CNA
• Dirty Frag 研究者分析
• Red Hat RHSB-2026-003
• Linux 5.15.206 回补修正
• Linux 6.1.172 回补修正
• V4bel/dirtyfrag
  • exp.c - 作者组合 PoC，包含可选择的 ESP 与 RxRPC 两条路径