Dirty Frag: آسیب‌پذیری جدی لینوکس که روت می‌ده
خلاصهٔ کامل‌تر
آسیب‌پذیری Dirty Frag دومین تهدید جدی لینوکس در کمتر از دو هفته‌ست. این باگ به کاربران کم‌سطح — حتی کسانی که داخل ماشین مجازی یا کانتینر کار می‌کنن — اجازه می‌ده کنترل کامل (روت) سرور رو به دست بگیرن. محیط‌های اشتراکی که چند مشتری روی یک سرور کار می‌کنن بیشترین ریسک رو دارن.
این آسیب‌پذیری در واقع دو CVE رو با هم زنجیر می‌کنه: CVE-2026-43284 (در مسیر دریافت IPsec ESP) و CVE-2026-43500 (در پردازش RxRPC). هر دو از باگ‌های مدیریت page cache در هسته لینوکس ریشه می‌گیرن — همون حافظه‌ای که کرنل برای کش فایل‌ها استفاده می‌کنه. مهاجم می‌تونه با دسترسی فقط-خواندنی، محتوای فایل‌های حساسی مثل /etc/passwd رو در حافظه بازنویسی کنه.
محققان Automox توضیح دادن که اکسپلویت از تابع splice() استفاده می‌کنه تا یک ارجاع به صفحه read-only رو داخل ساختار sk_buff کرنل کار بذاره. بعد کد رمزنگاری سمت گیرنده، همون صفحه رو مستقیماً تغییر می‌ده — و از اون لحظه هر بار که فایل خونده بشه، نسخه دستکاری‌شده برمی‌گرده.
// CVE-2026-43284: esp_input() روی skb غیر خطی بدون frag list
// کد skb_cow_data() رو رد می‌کنه و AEAD رو مستقیم روی frag رمزگشایی می‌کنه
// => مهاجم می‌تونه offset فایل و مقدار ۴ بایتی ذخیره‌شده رو کنترل کنهجالب اینجاست که هر کدوم از این دو CVE به تنهایی قابل اعتماد نیست — مثلاً AppArmor روی اوبونتو تکنیک ESP رو خنثی می‌کنه، و بیشتر توزیع‌ها rxrpc.ko رو پیش‌فرض لود نمی‌کنن. اما وقتی هر دو با هم زنجیر می‌شن، روی تمام توزیع‌های اصلی تستشده کار می‌کنه. مایکروسافت هم تأیید کرده که نشانه‌هایی از سوءاستفاده واقعی دیده شده.
اکسپلویت deterministic (قطعی) عمل می‌کنه — یعنی هر بار دقیقاً همون نتیجه رو می‌ده، هیچ کرشی ایجاد نمی‌کنه و به همین دلیل خیلی مخفیانه‌ست. کد اکسپلویت سه روز پیش لیک شد و محقق اصلی، Hyunwoo Kim، بعد از لیک ناخواسته، کد proof-of-concept خودش رو هم عمومی کرد.
توزیع‌های Debian، AlmaLinux و Fedora پچ منتشر کردن. بقیه باید وضعیت مخزن رسمی توزیع خودشون رو چک کنن. Wiz می‌گه محیط‌های کانتینری سخت‌شده مثل Kubernetes با تنظیمات پیش‌فرض امنیتی ریسک کمتری دارن، ولی ماشین‌های مجازی و محیط‌های کمتر محدود همچنان در معرض خطر جدی هستن.
نکات کلیدی:
- دو CVE زنجیر شده: CVE-2026-43284 (IPsec ESP) و CVE-2026-43500 (RxRPC)
- باگ در page cache هسته لینوکسه — همون خانواده Dirty Pipe و Copy Fail
- اکسپلویت قطعی، بی‌صداست و روی تقریباً همه توزیع‌های اصلی کار می‌کنه
- مایکروسافت نشانه‌هایی از سوءاستفاده واقعی گزارش داده
- Debian، AlmaLinux و Fedora پچ منتشر کردن؛ نصب فوری توصیه میشه
