Se ha descubierto Dirty Frag, una vulnerabilidad de escalada de privilegios en el kernel de Linux que permite a usuarios locales obtener acceso root. El fallo combina dos vulnerabilidades de escritura en la caché de páginas, afectando a distribuciones como Ubuntu, RHEL y Fedora. Debido a que existe un código de prueba operativo, se recomienda bloquear los módulos esp4, esp6 y rxrpc hasta que haya parches disponibles.

• Han surgido detalles sobre una nueva vulnerabilidad de escalada de privilegios locales (LPE) sin parchear que afecta al kernel de Linux.

Apodada Dirty Frag [https://github.com/V4bel/dirtyfrag], ha sido descrita [https://www.openwall.com/lists/oss-security/2026/05/07/8] como la sucesora de Copy Fail (CVE-2026-31431, puntuación CVSS: 7.8), un fallo de LPE revelado recientemente que afecta al kernel de Linux y que desde entonces ha sido objeto de explotación activa. La vulnerabilidad fue reportada a los mantenedores del kernel de Linux el 30 de abril de 2026.

"Dirty Frag es una vulnerabilidad (clase) que logra privilegios de root en la mayoría de las distribuciones de Linux encadenando la vulnerabilidad de escritura de Page-Cache de xfrm-ESP y la vulnerabilidad de escritura de Page-Cache de RxRPC", afirmó el investigador de seguridad Hyunwoo Kim (@v4bel) en un informe.

"Dirty Frag es un caso que extiende la clase de errores a la que pertenecen Dirty Pipe y Copy Fail. Debido a que es un error de lógica determinista que no depende de una ventana de tiempo, no se requiere ninguna condición de carrera, el kernel no entra en pánico cuando el exploit falla y la tasa de éxito es muy alta".

La explotación exitosa del fallo podría permitir que un usuario local sin privilegios obtenga acceso root elevado en la mayoría de las distribuciones de Linux, incluidas Ubuntu 24.04.4, RHEL 10.1, openSUSE Tumbleweed, CentOS Stream 10, AlmaLinux 10 y Fedora 44.

Según el investigador, la vulnerabilidad de escritura de Page-Cache de xfrm-ESP se introdujo en un commit de código fuente [https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=cac2661c53f3] realizado en enero de 2017, mientras que la vulnerabilidad de escritura de Page-Cache de RxRPC se introdujo [https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=2dc334f1a63a] en junio de 2023. Curiosamente, el mismo commit del 17 de enero de 2017 fue la causa raíz de otro desbordamiento de búfer (CVE-2022-27666 [https://etenal.me/archives/1825], puntuación CVSS: 7.8) que afectó a varias distribuciones de Linux.

xfrm-ESP Page-Cache Write, que tiene su origen en el subsistema IPSec (xfrm), proporciona a los atacantes una primitiva de almacenamiento de 4 bytes similar a Copy Fail y sobrescribe una pequeña cantidad en la caché de páginas del kernel.

Sin embargo, el exploit requiere que el usuario sin privilegios cree un espacio de nombres (namespace), un paso que es bloqueado por Ubuntu mediante AppArmor [https://ubuntu.com/server/docs/how-to/security/apparmor/]. En dicho entorno, no se puede activar xfrm-ESP Page-Cache Write. Ahí es donde entra el segundo exploit, RxRPC Page-Cache Write.

"RxRPC Page-Cache Write no requiere el privilegio de crear un espacio de nombres, pero el módulo rxrpc.ko en sí no está incluido en la mayoría de las distribuciones", explicó Kim. "Por ejemplo, la compilación predeterminada de RHEL 10.1 no incluye rxrpc.ko. Sin embargo, en Ubuntu, el módulo rxrpc.ko se carga por defecto".

"Encadenar las dos variantes hace que los puntos ciegos se cubran entre sí. En un entorno donde se permite la creación de espacios de nombres de usuario, el exploit ESP se ejecuta primero. Por el contrario, en Ubuntu, donde la creación de espacios de nombres de usuario está bloqueada pero rxrpc.ko está compilado, el exploit RxRPC funciona".

CloudLinx, en un aviso [https://blog.cloudlinux.com/dirty-frag-mitigation-and-kernel-update] propio, señaló que el fallo reside en la "ruta rápida no-COW de ESP-in-UDP MSG_SPLICE_PAGES y es accesible a través de la interfaz de netlink de usuario XFRM".

"El error reside en las rutas rápidas de descifrado in situ de esp4, esp6 y rxrpc: cuando un búfer de socket transporta fragmentos paginados que no son propiedad privada del kernel (por ejemplo, páginas de tubería adjuntas mediante splice(2)/sendfile(2)/MSG_SPLICE_PAGES), la ruta de recepción descifra directamente sobre esas páginas respaldadas externamente, exponiendo o corrompiendo el texto plano al que un proceso sin privilegios todavía mantiene una referencia", afirmó AlmaLinux [https://almalinux.org/blog/2026-05-07-dirty-frag/].

Aumentando la urgencia, se ha publicado una prueba de concepto (PoC) funcional que puede explotarse para obtener root con un solo comando. Hasta que los parches estén disponibles, se recomienda bloquear los módulos esp4, esp6 y rxrpc para que no puedan cargarse:

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

Vale la pena mencionar que Dirty Frag, a pesar de compartir algunas similitudes con Copy Fail, puede explotarse independientemente de si el módulo algif_aead del kernel de Linux está habilitado o no.

"Tenga en cuenta que Dirty Frag puede activarse independientemente de si el módulo algif_aead está disponible", dijo el investigador. "En otras palabras, incluso en sistemas donde se aplica la mitigación de Copy Fail conocida públicamente (lista negra de algif_aead), su Linux sigue siendo vulnerable a Dirty Frag".

Fuente:
THN