gik|iewicz

Microsoft potwierdził aktywne exploity wykorzystujące lukę Dirty Frag w jądrze Linuxa. Podatność oznaczona jako CVE-2026-43284 pozwala na eskalację uprawnień z nieuprzywilejowanego użytkownika do roota. Atak dotyczy komponentów sieciowych: esp4, esp6 oraz rxrpc.

TL;DR: Dirty Frag (CVE-2026-43284) to luka w jądrze Linuxa pozwalająca na lokalną eskalację uprawnień do roota. Microsoft potwierdza aktywne ataki wykorzystujące tę podatność po kompromitacji. Luka dotyczy modułów esp4, esp6 i rxrpc. Publiczny proof-of-concept jest już dostępny, a poprawki trafiły do głównych dystrybucji.

Co to jest Dirty Frag i jak działa mechanizm ataku?

Dirty Frag to podatność lokalnej eskalacji uprawnień (LPE) w jądrze Linuxa, wykorzystująca błędy w obsłudze fragmentacji pamięci sieciowej. Luka działa na modułach esp4, esp6 oraz rxrpc, które odpowiadają za szyfrowanie IPsec i komunikację RPC. Atakujący z dostępem nieuprzywilejowanego użytkownika może poprzez specjalnie spreparowane żądania sieciowe doprowadzić do nadpisania pamięci jądra. W rezultacie uzyskuje pełne uprawnienia root na maszynie docelowej.

Podatność jest oznaczona numerem CVE-2026-43284. Dodatkowo badacze skojarzyli ją z drugą luką – CVE-2026-43500, znaną jako Copy Fail 2. Obie dzielą podobny wektor ataku oparty na module xfrm-ESP. Hackaday wskazuje, że Dirty Frag stanowi rozwinięcie podatności CopyFail z poprzedniego tygodnia. Łączenie tych dwóch luk daje atakującemu niezawodną metodę eskalacji.

Warto przypomnieć, że CVE-2026-31431: Podatność Copy Fail umożliwia eskalację uprawnień root w systemie Linux w środowiskach chmurowych stanowiła podłoże dla nowszego ataku. Dirty Frag bazuje na tych samych mechanizmach, jednakże uderza w szerszy zakres modułów jądra. Sekurak.pl potwierdza, że publiczny exploit pozwala na stabilne uzyskanie roota.

Które dystrybucje Linuxa są podatne na atak Dirty Frag?

The Verge potwierdza, że wszystkie główne dystrybucje Linuxa są zagrożone przez Dirty Frag. Podatność dotyczy Ubuntu, RHEL, Fedora, Debian, a także systemów opartych na niestandardowych konfiguracjach jądra. Wiz Blog dodaje, że luka obejmuje większość dystrybucji wykorzystujących standardowe moduły sieciowe esp4 i esp6. Oznacza to, że praktycznie każda instalacja Linuxa z włączonym IPsec jest narażona na atak.

Security Affairs wskazuje konkretne wersje systemów, które otrzymały poprawki w pierwszej kolejności. Canonical wydał łatki dla Ubuntu 24.04 LTS i nowszych. Red Hat załatował RHEL 8, 9 oraz Fedora. Mimo to, W przypadku podatności jądra Linux nie ma wcześniejszego ostrzegania dystrybucji, co oznacza, że mniejsze dystrybucje mogą wciąż czekać na aktualizacje.

Help Net Security podkreśla, że podatność jest szczególnie groźna w środowiskach współdzielonych, chmurowych i kontenerowych. Atakujący potrzebują jedynie lokalnego dostępu do uruchomienia exploita. Zatem systemy wielodostępowe są najbardziej narażone.

• Ubuntu – wersje 22.04, 24.04 LTS i nowsze
• RHEL – wersje 8, 9 z domyślnym jądrem
• Fedora – wszystkie aktualne wydania
• Debian – wersje Stable i Testing
• openSUSE – wersje Leap i Tumbleweed
• Arch Linux – instalacje z domyślnym jądrem
• Alpine Linux – wersje używane w kontenerach
• Amazon Linux – wersje 2023 w środowisku AWS

Dlaczego Microsoft ostrzega przed aktywnymi exploitami Dirty Frag?

Microsoft Security Blog klasyfikuje Dirty Frag jako aktywnie wykorzystywaną lukę po kompromitacji. Atakujący używają jej jako drugiego etapu – po uzyskaniu początkowego dostępu do serwera, eskalują uprawnienia do roota. Cybersecuritynews.com potwierdza, że exploit jest publicznie dostępny od pierwszych godzin po ujawnieniu podatności. Co więcej, prostota użycia sprawia, że atak jest dostępny nawet dla mało doświadczonych operatorów.

Microsoft wskazuje, że atak typowo następuje po wcześniejszej kompromitacji, na przykład poprzez Łagodzenie kompromitacji łańcucha dostaw npm Axios. Atakujący uzyskują dostęp na poziomie zwykłego użytkownika, a następnie używają Dirty Frag do przejęcia pełnej kontroli nad systemem. Taki schemat jest często spotykany w atakach na infrastrukturę chmurową.

Wiz Blog zwraca uwagę, że niezawodność exploita jest wysoka. Publiczny proof-of-concept udowadnia stabilność eskalacji na różnych wersjach jądra. Ponadto atak nie wymaga skomplikowanej konfiguracji środowiska. Wystarczy standardowy system z załadowanymi modułami sieciowymi.

Jakie moduły jądra są wykorzystywane przez Dirty Frag?

Podatność celuje w trzy moduły jądra Linuxa: esp4, esp6 oraz rxrpc. Moduły esp4 i esp6 odpowiadają za implementację protokołu IPsec – ESP (Encapsulating Security Payload) dla IPv4 i IPv6. Są one domyślnie ładowane w wielu dystrybucjach, nawet jeśli IPsec nie jest aktywnie używany. Moduł rxrpc obsługuje protokół RPC używany przez kerberized NFS oraz AFS.

Sekurak.pl podaje tymczasowe rozwiązanie polegające na wyłączeniu niebezpiecznych modułów. Wymaga to wykonania komend blokujących ładowanie esp4, esp6 i rxrpc do jądra. Choć blokada modułów może wpłynąć na funkcjonalność IPsec, chroni system przed exploitem. Jest to zalecane rozwiązanie dla systemów, które nie mogą natychmiast zastosować pełnej łatki.

Hackaday wskazuje, że Dirty Frag łączy podatność w xfrm-ESP z błędami w obsłudze fragmentacji. Atak wykorzystuje race condition w alokacji buforów pamięci. Jak Cloudflare odpowiedziało na lukę „Copy Fail” w systemie Linux pokazuje, jak duzi dostawcy chmurowi radzą sobie z podobnymi zagrożeniami.

# Tymczasowe wyłączenie modułów zagrożonych (Sekurak.pl)
echo "install esp4 /bin/true" >> /etc/modprobe.d/dirty-frag-blacklist.conf
echo "install esp6 /bin/true" >> /etc/modprobe.d/dirty-frag-blacklist.conf
echo "install rxrpc /bin/true" >> /etc/modprobe.d/dirty-frag-blacklist.conf

# Przeładowanie konfiguracji modprobe
depmod -a

# Weryfikacja czy moduły są zablokowane
modprobe --show-depends esp4
modprobe --show-depends esp6
modprobe --show-depends rxrpc

Jak Dirty Frag różni się od wcześniejszych luk takich jak Dirty Pipe czy Copy Fail?

Dirty Frag stanowi ewolucję technik eskalacji uprawnień w Linuxie, nawiązującą do Dirty Pipe (CVE-2022-0847) i Copy Fail (CVE-2026-31431). ITHardware.pl opisuje ją jako najpoważniejszą lukę od czasu Dirty Pipe. Podobnie jak jej poprzedniczki, Dirty Frag wykorzystuje błędy w zarządzaniu pamięcią jądra, jednakże celuje w inne podsystemy – fragmentację pakietów sieciowych zamiast potoków (pipes) czy buforów kopiowania.

Główna różnica polega na tym, że Dirty Frag łączy podatności z dwóch obszarów: xfrm-ESP oraz rxrpc. To szerszy zakres niż Copy Fail, który uderzał tylko w jeden komponent. Dodatkowo exploit Dirty Frag jest bardziej niezawodny – publiczny PoC działa stabilnie na wielu wersjach jądra. Help Net Security potwierdza, że niezawodność ta wynika z przewidywalności błędów fragmentacji.

Kolejne różnice dotyczą warunków wyzwalania luki. Dirty Pipe wymagał dostępu do plików tylko do odczytu. Copy Fail potrzebował specyficznych operacji kopiowania. Z kolei Dirty Frag wymaga jedynie możliwości ładowania modułów sieciowych, co jest możliwe z poziomu nieuprzywilejowanego użytkownika. Postępy Asahi Linux – Linux 7.0 pokazują, że nawet nietypowe architektury mogą być zagrożone przez luki w standardowych modułach.

Jakie kroki łagodzące zaleca Microsoft dla środowisk chmurowych?

Microsoft Security Blog zaleca natychmiastowe zastosowanie poprawek jądra jako podstawową metodę obrony przed Dirty Frag. W środowiskach chmurowych, gdzie współdzielenie zasobów jest powszechne, luka ta pozwala na eskalację uprawnień z nieuprzywilejowanego użytkownika do roota (Microsoft Security Blog, 2026). Ponadto zaleca się blokadę modułów esp4, esp6 i rxrpc na maszynach, które nie używają protokołu IPsec.

Wiz Blog wskazuje, że środowiska kontenerowe są szczególnie narażone na ten wektor ataku. Kontenery często współdzielą jądro hosta, zatem przejęcie jednego kontenera może doprowadzić do kompromitacji całego węzła. Dlatego izolacja sieciowa i ograniczenia capability stanowią wymaganą warstwę dodatkowej ochrony.

Help Net Security zwraca uwagę na konieczność audytu logów pod kątem podejrzanej aktywności sieciowej. Atak Dirty Frag generuje specyficzny ruch związany z fragmentacją pakietów. Cybersecuritynews.com potwierdza, że publiczny proof-of-concept ujawniono w ciągu pierwszych godzin od ogłoszenia o luce.

• Aktualizacja jądra – natychmiastowe wdrożenie najnowszych łat wydanych przez dystrybutora
• Blokada modułów – wyłączenie esp4, esp6 i rxrpc przez konfigurację modprobe
• Segmentacja sieci – ograniczenie ruchu IPsec do niezbędnych połączeń
• Monitoring – obserwacja logów pod kątem nietypowej fragmentacji
• Hardening kontenerów – zastosowanie polityk seccomp i AppArmor
• Ograniczenie dostępu – minimalizacja liczby użytkowników z lokalnym shellem
• Weryfikacja systemów – skanowanie infrastruktury pod kątem brakujących łat
• Plan testów – sprawdzenie stabilności poprawek w środowisku stagingowym

Jak wykryć próbę wykorzystania podatności Dirty Frag?

Wykrycie ataku Dirty Frag wymaga monitorowania specyficznych wzorców w logach jądra i ruchu sieciowego. Microsoft Security Blog podaje, że exploit generuje nietypową aktywność w modułach esp4, esp6 i rxrpc, w tym anomalie w alokacji buforów pamięci (Microsoft Security Blog, 2026). Narzędzia EDR mogą identyfikować te sygnatury, jednakże wymagają aktualizacji reguł do najnowszych wersji.

Sekurak.pl wskazuje, że publiczny exploit pozostawia ślady w postaci komunikatów o błędach fragmentacji w dmesg. Administratorzy mogą filtrować logi pod kątem fraz związanych z xfrm i ESP. Ponadto nieudane próby załadowania zablokowanych modułów również stanowią wskaźnik ataku.

Hackaday potwierdza, że Dirty Frag łączy podatności xfrm-ESP z błędami fragmentacji, co ułatwia korelację zdarzeń. Narzędzia do monitorowania integralności plików mogą wykryć modyfikacje w katalogu /etc/modprobe.d/, gdzie rejestruje się blokady modułów. Wiz Blog zaleca wdrożenie detekcji opartej na analizie behawioralnej procesów.

Jakie scenariusze ataku łączą Dirty Frag z innymi wektorami kompromitacji?

Microsoft Security Blog opisuje Dirty Frag jako typową lukę drugiego etapu – wykorzystywaną po uzyskaniu początkowego dostępu. Atakujący najpierw kompromitują aplikację lub usługę, uzyskując powłokę na poziomie zwykłego użytkownika, a następnie używają Dirty Frag do eskalacji do roota (Microsoft Security Blog, 2026). Ten schemat jest powszechny w atakach na infrastrukturę chmurową i serwery webowe.

Security Affairs podaje przykłady ataków łańcucha dostaw, gdzie złośliwy pakiet npm otwierał backdoor na serwerze. Po uzyskaniu dostępu lokalnego, atakujący uruchamiali exploit Dirty Frag. Taki wektor jest trudny do wykrycia, ponieważ początkowa kompromitacja wygląda jak normalna aktywność aplikacji. Łagodzenie kompromitacji łańcucha dostaw npm Axios | Blog Bezpieczeństwa Microsoft pokazuje, jak organizacje radzą sobie z podobnymi incydentami.

Wiz Blog wskazuje na scenariusz ataku na środowiska kontenerowe. Złośliwy obraz Dockera może zawierać gotowy exploit Dirty Frag. Po uruchomieniu kontenera, atakujący automatycznie eskaluje uprawnienia na hoście. Jak Cloudflare odpowiedziało na lukę „Copy Fail” w systemie Linux ilustruje, jak duzi dostawcy chmurowi reagują na tego typu zagrożenia w infrastrukturze.

Jakie są rekomendacje dla administratorów systemów Linux?

Microsoft Security Blog zaleca priorytetowe łatanie systemów Linux z włączonymi modułami esp4, esp6 i rxrpc. Podatność Dirty Frag pozwala na stabilną eskalację uprawnień z poziomu nieuprzywilejowanego użytkownika do roota (Microsoft Security Blog, 2026). Administratorzy powinni zweryfikować, które systemy korzystają z IPsec i załatać je w pierwszej kolejności.

Sekurak.pl zaleca tymczasowe wyłączenie zagrożonych modułów poprzez dodanie wpisów do /etc/modprobe.d/. To rozwiązanie chroni przed exploitem, jednakże może wpłynąć na funkcjonalność VPN opartych na IPsec. Dlatego przed wdrożeniem blokady należy przetestować wpływ na środowisko.

Help Net Security podkreśla konieczność ograniczenia liczby użytkowników z lokalnym dostępem do serwerów. Mniej kont zmniejsza powierzchnię ataku. W przypadku podatności jądra Linux nie ma wcześniejszego ostrzegania dystrybucji, co oznacza, że mniejsze dystrybucje mogą potrzebować więcej czasu na wydanie poprawek.

Często zadawane pytania

Czy Dirty Frag działa na systemach z wyłączonym IPsec?

Moduły esp4, esp6 i rxrpc mogą być ładowane domyślnie nawet bez aktywnej konfiguracji IPsec. Sekurak.pl zaleca weryfikację załadowanych modułów poleceniem lsmod i blokadę nieużywanych komponentów w /etc/modprobe.d/.

Jak szybko należy załatać systemy po ujawnieniu Dirty Frag?

Microsoft Security Blog potwierdza aktywne exploity w momencie ujawnienia podatności (Microsoft Security Blog, 2026). Łatanie powinno nastąpić w ciągu 24-48 godzin, szczególnie na systemach wielodostępowych i w środowiskach chmurowych.

Czy kontenery Docker są podatne na Dirty Frag?

Kontenery współdzielą jądro hosta, zatem podatny system bazowy naraża wszystkie uruchomione na nim kontenery. Wiz Blog zaleca aktualizację jądra hosta oraz wdrożenie profilów seccomp ograniczających możliwość załadowania modułów esp4, esp6 i rxrpc.

Czy istnieje publiczny exploit dla Dirty Frag?

Cybersecuritynews.com potwierdza, że publiczny proof-of-concept został udostępniony w ciągu pierwszych godzin od ujawnienia luki (Cybersecuritynews.com, 2026). PoC działa stabilnie na większości głównych dystrybucji Linuxa, co zwiększa pilność zastosowania poprawek.

Podsumowanie

Dirty Frag (CVE-2026-43284) to poważna podatność eskalacji uprawnień w jądrze Linuxa, aktywnie wykorzystywana przez atakujących. Luka dotyczy modułów esp4, esp6 i rxrpc, które są obecne w większości dystrybucji. Microsoft potwierdza, że exploit jest używany jako drugi etap po początkowej kompromitacji systemu. Publiczny proof-of-concept sprawia, że atak jest dostępny dla szerokiego grona aktorów zagrożeń.

Główne wnioski:
– Natychmiastowe łatanie – zastosuj poprawki jądra na wszystkich systemach Linux z włączonymi modułami esp4, esp6 i rxrpc
– Blokada modułów – wyłącz zagrożone komponenty na maszynach nieużywających IPsec
– Ograniczenie dostępu – minimalizuj liczbę kont z lokalnym shellem
– Monitoring – wdróż detekcję anomalii w logach jądra i ruchu sieciowym
– Hardening – zastosuj profile seccomp i AppArmor w środowiskach kontenerowych

Zabezpiecz swoje systemy już teraz. Zweryfikuj, które serwery korzystają z modułów esp4, esp6 i rxrpc, i załataj je zgodnie z wytycznymi dystrybutora. Jeśli nie możesz natychmiast zaktualizować jądra, zastosuj tymczasową blokadę modułów opisaną w artykule.