8 мая 2026 года исследователь Хёнву Ким (@v4bel) опубликовал информацию о двух уязвимостях в ядре Linux под общим названием Dirty Frag. Обычный пользователь без каких-либо привилегий может получить полный root-доступ к серверу. Рабочий эксплоит уже в открытом доступе. Патчей для дистрибутивов пока нет.

Что случилось

Dirty Frag — это две самостоятельные уязвимости в ядре Linux, каждая из которых по отдельности позволяет получить root. Первая находится в модуле xfrm-ESP (часть стека IPsec, присутствует с января 2017 года), вторая — в модуле RxRPC (сетевой протокол поверх UDP, присутствует с июня 2023 года).

Обе подсистемы при определённых операциях с данными записывают результат напрямую в страничный кэш без создания копии. Атакующий использует это, чтобы незаметно подменить содержимое любого файла в кэше, не трогая сам файл на диске. Достаточно подменить 4 байта в нужном месте кэшированного исполняемого файла с флагом suid — например, /usr/bin/su — и следующий запуск этой программы выполнит уже подменённый код с правами root.

Раскрытие планировалось на 12 мая вместе с патчами, но патчи к ipsec и rxrpc без пометки об уязвимости попали в публичные списки рассылки. Сторонний исследователь их заметил, воссоздал эксплоит и опубликовал — не зная об эмбарго. Это вынудило Кима досрочно раскрыть полную информацию.

CVE-идентификаторы на момент публикации не присвоены. Предварительные обозначения — CVE-2026-43284 (xfrm-ESP) и CVE-2026-43500 (RxRPC).

Какие дистрибутивы затронуты

Уязвимы все дистрибутивы с ядром начиная с 2017 года. Рабочий эксплоит подтверждён на Ubuntu 24.04.4, RHEL 10.1, CentOS Stream 10, AlmaLinux 10, Fedora 44 и openSUSE Tumbleweed. Amazon подтвердила наличие проблемы в Amazon Linux.

Важно: Dirty Frag не перекрывается митигацией от предыдущей уязвимости Copy Fail. Если модуль algif_aead уже заблокирован — это не защищает: Dirty Frag использует совершенно другие точки в ядре.

Временное решение

До выхода обновлений ядра — заблокировать загрузку уязвимых модулей. Одна команда закрывает оба вектора атаки:

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

Команда отключает модули esp4, esp6 и rxrpc.

Важно: Если на сервере используется IPsec VPN (strongSwan, Libreswan и аналоги) — туннель перестанет работать. Проверьте конфигурацию перед применением. Отключение rxrpc в большинстве случаев ни на что не влияет.

Безопасность
← Ко всем новостям