Dirty Frag: ثغرة رفع صلاحيات جديدة في نواة لينكس عبر النسخ الصفري

Dirty Frag: سلسلة ثغرات على مسار النسخ الصفري في نواة لينكس تسمم كتابة ذاكرة التخزين المؤقت للصفحة، لتربط بين ثغرات xfrm-ESP و RxRPC. تؤثر على جميع التوزيعات الرئيسية تقريباً منذ 2017 وتسمح برفع الصلاحيات إلى جذر دون كلمة مرور.

هنا نذهب مجدداً

لأكون صريحاً، لم أعتقد أنني سأكتب منشوراً آخر عن رفع صلاحيات النواة بهذه السرعة.

لقد مرت فقط ثمانية أيام منذ مقال Copy Fail. ثمانية أيام! القائمة السوداء algif_aead من Copy Fail بالكاد كُتبت في الطرفية، التصحيح لم يكن حتى دافئاً، ثم — Dirty Frag انكشف.

الأكثر عبثية هو أن تخفيفات Copy Fail غير فعالة تماماً ضد Dirty Frag. هذه المرة، الهجوم يستهدف أنظمة نواة مختلفة تماماً — مسارات تشفير xfrm-ESP و RxRPC — لذا سواء عطّلت algif_aead أم لا لا يحدث أي فرق على الإطلاق.

الجدول الزمني

تحليل التأثير

المبدأ التقني: لماذا “Dirty Frag”؟

برد() يزرع مرجع ذاكرة تخزين مؤقت لملف للقراءة فقط في فتحة frag لمخزن الإرسال المؤقت للشبكة (skb) → نواة الاستقبال تنفذ عمليات تشفير في المكان على frag → ما كان يجب أن يكون عملية فك تشفير يصبح أداة كتابة مباشرة لذاكرة التخزين المؤقت للصفحة → استبدال كود su الآلي بـ ELF لقشرة جذر.

الاستجابة الطارئة: تعطيل الوحدات الضعيفة مؤقتاً

حتى 8 مايو 2026، تصحيحات النواة الرسمية لم تُصدر بعد. حتى تتوفر التصحيحات، التخفيف الوحيد المؤقت هو تفريغ ومنع الوحدات الثلاث الضعيفة:

lsmod | grep -E 'esp4|esp6|rxrpc'
sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf"
sudo rmmod esp4 esp6 rxrpc 2>/dev/null
echo 3 | sudo tee /proc/sys/vm/drop_caches

الآثار الجانبية: تعطيل esp4/esp6 سيقطع أنفاق VPN IPsec. تعطيل rxrpc له تأثير ضئيل ما لم تستخدم AFS.

References

• GitHub PoC: github.com/V4bel/dirtyfrag
• تقرير LWN
• تقرير Phoronix
• Copy Fail Disclosure