Ces dernières semaines, le monde Linux a été secoué par une nouvelle vulnérabilité qui, pour de nombreux administrateurs, a été la goutte d'eau qui a fait déborder le vase après une série de failles critiques du noyau. Nous parlons de Fragnesia, une faille d'élévation de privilèges locale ce qui s'ajoute à la liste des défaillances connues. Échec de la copie y Fragment saleet cela permet à tout utilisateur non privilégié d'obtenir un accès root avec une simple commande sur les systèmes vulnérables.
Après Copy Fail et Dirty Frag, Fragnesia arrive en pleine période de lassitude face aux correctifs : mises à jour urgentes, redémarrages à répétition et solutions de fortune. L’ignorer n’est cependant pas envisageable. Cette vulnérabilité affecte plusieurs distributions Linux et versions du noyau.Une preuve de concept publique et pleinement fonctionnelle existe déjà. Dans cet article, nous détaillerons ce qu'est Fragnesia, le fonctionnement de l'attaque, les distributions concernées, les correctifs et mesures d'atténuation existants, et comment vérifier la protection de votre système.
Qu'est-ce que Fragnesia et quel est son lien avec Dirty Frag et Copy Fail ?
La framboise est une nouvelle faille d'élévation de privilèges locale (LPE) Dans le noyau Linux, cette vulnérabilité appartient à la même famille que Copy Fail (CVE-2026-31431) et Dirty Frag (également connue sous le nom de Copy Fail 2, CVE-2026-43284). Elle partage avec elles le même principe : exploiter des failles logiques dans la pile réseau et la gestion de la mémoire du noyau pour obtenir une primitive d'écriture en mémoire permettant de modifier des fichiers théoriquement en lecture seule et, in fine, d'exécuter du code avec les privilèges root.
Cette décision a été qualifiée de Fragnesia et référencée sous la référence CVE-2026-46300Avec un score CVSS de 7,8, cette vulnérabilité a été découverte par William Bowling, membre de l'équipe de sécurité V12. Peu après, Sam James a annoncé le problème sur la liste de diffusion OSS Security, précisant qu'il ne s'agissait pas d'une simple réanalyse de Dirty Frag, mais d'un autre bug affectant la même surface fonctionnelle du noyau.
En termes pratiques, Fragnesia est le troisième défaillance critique de ce type en seulement deux semainesCopy Fail, Dirty Frag et maintenant Fragnesia. Ces trois vulnérabilités exploitent des failles de gestion des données du noyau pour corrompre le cache de pages de fichiers critiques tels que… /usr/bin/suMais Fragnesia y parvient par une autre voie : le sous-système ESP-in-TCP de XFRM.
Détails techniques : le sous-système XFRM ESP-in-TCP et la défaillance logique
Le cœur de Fragnesia réside dans un défaillance logique dans le sous-système Linux XFRM ESP-in-TCPPlus précisément, dans la route ULP (Upper Layer Protocol) appelée espintcp. XFRM est le framework noyau responsable, entre autres, du traitement du trafic IPsec, et ESP (Encapsulating Security Payload) est le protocole qui assure la confidentialité et l'authenticité grâce au chiffrement (par exemple, AES-GCM), comme cela s'est produit avec une vulnérabilité dans le protocole réseau CAN BCM.
L'attaque repose sur une situation très spécifique du noyau : lorsqu'une socket TCP passe en mode ESP-in-TCP après que les pages de fichiers ont été ajoutées à sa file d'attente de réception par des appels tels que splice(2) o sendfile(2)Au lieu de traiter ces données comme de simples pages d'un fichier, le noyau les interprète comme du texte chiffré ESP et leur applique un « déchiffrement », modifiant ainsi les pages du cache sur place.
En conséquence de cette erreur, le noyau injecte le flux de clés AES-GCM sur pages de cache correspondant aux fichiers en lecture seuleCela permet d'écrire des octets de taille arbitraire dans le cache de pages. En contrôlant le vecteur d'initialisation (nonce) et d'autres paramètres, un utilisateur non privilégié peut diriger précisément ces écritures. Il en résulte une primitive d'écriture déterministe qui permet de modifier un nombre contrôlé d'octets dans n'importe quel fichier lisible, même si le système de fichiers le marque comme immuable ou en lecture seule.
La démonstration publique du concept porte sur modifier le binaire /usr/bin/su dans le cache de la pageIl injecte un stub ELF de 192 octets (positionnellement indépendant) dans la copie mémoire de ce binaire. À partir de ce moment, lors de sa prochaine exécution, ce stub sera inopérant. suLe stub s'exécutera avec les privilèges root, permettant une ascension instantanée sans avoir besoin d'exécutions conditionnelles ni d'autres astuces supplémentaires.
Mesures d'atténuation temporaires : comment se protéger si vous ne pouvez pas redémarrer
Bien que cela soit recommandé Installez un noyau patché et redémarrez dès que possible.Des solutions temporaires efficaces ont été décrites pour ceux qui ne peuvent pas redémarrer immédiatement. Bonne nouvelle : Fragnesia utilisant les mêmes modules de base (esp4, esp6 et, en option, rxrpc) que Dirty Frag, la solution proposée pour ce dernier fonctionne également pour Fragnesia.
La technique consiste en bloquer le chargement des modules vulnérables en configurant modprobe et, s'ils sont déjà chargés, les décharger de la mémoire. Cela se fait en écrivant une règle dans /etc/modprobe.d/ qui remplace le chargement de ces modules par des commandes inoffensives (telles que /bin/falsePuis on invoque rmmod à leur sujet, en ignorant silencieusement les erreurs si elles sont absentes.
Dans les distributions comme CloudLinux, la commande proposée pour Dirty Frag (qui fonctionne tout aussi bien pour Fragnesia) génère un fichier dirtyfrag.conf avec des règles pour esp4, esp6 y rxrpcIl tente également de décharger les modules actifs. Si vous avez déjà appliqué cette mesure d'atténuation pour Dirty Frag, Vous n'avez rien d'autre à faire pour Fragenesis jusqu'à l'installation du noyau corrigé, car la surface d'attaque est également neutralisée.
La compatibilité est un facteur important à prendre en compte : esp4 et esp6 sont les transformations du noyau pour IPsecLeur désactivation interrompt les tunnels IPsec qui dépendent du chemin de données du noyau (par exemple, strongSwan ou Libreswan). Il est déconseillé d'utiliser cette mesure d'atténuation sur les hôtes qui terminent ou acheminent le trafic IPsec critique. rxrpc Il s'agit du transport AF_RXRPC, utilisé presque exclusivement par les clients AFS, et rarement présent sur les serveurs web ou dans d'autres scénarios à usage général.
Restaurez le cache de la page après avoir appliqué les mesures d'atténuation.
Un autre point souvent négligé est que la faille, lorsqu'elle fonctionne, peut laisser des traces en mémoire. copies modifiées de fichiers binaires légitimes dans le cache de pageL'exemple le plus typique est /usr/bin/suToutefois, d'autres fichiers binaires privilégiés pourraient être affectés si l'attaquant décide de changer de cible.
Par conséquent, certains avis recommandent qu'après avoir appliqué les mesures d'atténuation des listes noires de modules, vous procédiez à vider le cache de pages du système pour forcer un rechargement propre à partir du disque. Cela peut être réalisé en écrivant sur /proc/sys/vm/drop_caches Cette valeur indique au noyau de libérer le cache de pages et les entrées de répertoire/inodes. Cette opération ne supprime que les pages propres et est donc sans danger pour les systèmes de production, même si elle peut entraîner une augmentation temporaire des E/S disque lors de la relecture des fichiers binaires et des données.
L'idée est simple : si une instance de Fragnesia avait déjà été exécutée avant la mise en œuvre des mesures d'atténuation, Les pages corrompues sont supprimées et la version disque non altérée sera de nouveau utilisée.Combinée à la liste noire des modules, cette mesure réduit le risque qu'une éventuelle modification résiduelle dans le cache soit encore exploitable ou provoque un comportement erratique du système.
État des correctifs et recommandations des fournisseurs
La plupart des acteurs majeurs de l'écosystème Linux ont rapidement réagi à la découverte de Fragnesia. Des distributions comme AlmaLinux et CloudLinux ont noyaux corrigés publiés ou en cours de finalisationRed Hat a indiqué qu'elle évalue dans quelle mesure les mesures d'atténuation existantes pour les vulnérabilités précédentes couvrent également CVE-2026-46300.
Plusieurs fournisseurs de solutions de sécurité, dont des entreprises associées à Google et Microsoft, ont publié des analyses expliquant que Cette vulnérabilité permet à des attaquants locaux non privilégiés de modifier le contenu des fichiers en lecture seule dans le cache de pages. et obtenir les privilèges root via une corruption de mémoire déterministe. Wiz, par exemple, souligne qu'AppArmor et les restrictions sur les espaces de noms des utilisateurs non privilégiés peuvent atténuer partiellement l'impact en exigeant des techniques supplémentaires pour exploiter la faille dans certains environnements.
Microsoft, pour sa part, souligne que Aucune exploitation active dans la nature n'a été observée au moment de leur déclaration.Ils recommandent néanmoins aux utilisateurs d'appliquer le correctif dès sa disponibilité, à l'aide des outils de mise à jour habituels. Lorsqu'une application immédiate est impossible, ils préconisent d'appliquer les mêmes mesures d'atténuation que celles proposées pour Dirty Frag : désactiver esp4, esp6 et les fonctionnalités non essentielles liées à IPsec/XFRM, renforcer la sécurité de l'accès local interactif et intensifier la surveillance des activités d'élévation de privilèges inhabituelles.
Contexte de la menace : exploitation du marché et de la lassitude face aux correctifs
La découverte de Fragnesia s'inscrit dans un contexte où L'exploitation des vulnérabilités d'élévation de privilèges locales sous Linux prend de la valeur sur le marché noir.Des rapports récents décrivent un acteur, sous le pseudonyme de « berz0k », proposant une vulnérabilité zero-day d'élévation de privilèges locale sous Linux pour 170 000 $, prétendument fonctionnelle sur plusieurs distributions. Selon ThreatMon, le vendeur affirme que cette vulnérabilité est de type TOCTOU (Time-of-Check Time-of-Use), permet une élévation de privilèges stable sans provoquer de plantage et utilise une charge utile sous la forme d'une bibliothèque partagée..so) déployé dans /tmp.
Tout cela alimente le sentiment de saturation et fatigue De nombreux administrateurs expriment leur frustration : « Encore une vulnérabilité du même type que Dirty Frag ! » ou « Si on en trouve huit de plus, je quitte le système ! », commentent certains sur un ton mi-sérieux, mi-plaisantin. En réalité, la succession des vulnérabilités Copy Fail, Dirty Frag et Fragnesia oblige les équipes système à repenser leur stratégie de mise à jour du noyau, notamment dans les environnements où les redémarrages fréquents sont très coûteux.
Dans ce contexte, les solutions de patch en direct comme KernelCare ou des mécanismes similaires gagnent en importance. solution alternative pour appliquer des correctifs critiques sans interrompre les servicesParallèlement, les distributions sont soumises à une pression accrue pour réduire au maximum le délai entre la découverte du problème, la publication du correctif en amont et la disponibilité du paquet corrigé dans les dépôts stables.
Finalement, Fragenesis est devenu une étude de cas illustrant comment un petit élément logique dans un sous-système spécialisé comme XFRM ESP-in-TCP peut avoir des conséquences dévastatrices lorsqu'elles sont combinées à des mécanismes de mise en cache des pages et à des binaires privilégiésSe tenir au courant des alertes de sécurité, des listes de diffusion, des blogs de distribution et des canaux de communication comme Mattermost ou X (anciennement Twitter) est essentiel pour réagir rapidement et minimiser la période d'exposition.
La menace que représente Fragnesia réside non seulement dans sa capacité à octroyer un accès root en une seule commande, mais aussi dans le fait qu'elle illustre à quel point les environnements Linux modernes dépendent d'un chaîne de confiance complexe qui s'étend du code du noyau aux outils de mise à jour et aux politiques de renforcementLa protection implique de combiner des correctifs officiels, des mesures d'atténuation bien comprises, des solutions de mise à jour en direct lorsque cela est pertinent, et une politique claire de contrôle et de surveillance des accès locaux, afin qu'une défaillance de ce type ne devienne pas le point de défaillance unique de l'ensemble de l'infrastructure.
