Se ha descubierto Fragnesia (CVE-2026-46300), una vulnerabilidad en el kernel de Linux que permite a usuarios sin privilegios obtener acceso root mediante la corrupción de la memoria caché de páginas. El fallo, ubicado en el subsistema XFRM, surgió accidentalmente como efecto secundario de los parches aplicados para corregir la vulnerabilidad Dirty Frag. Debido a que el exploit es altamente predecible y ya existe código público, diversos distribuidores instan a los administradores a actualizar sus sistemas urgentemente.



Los administradores de Linux que esperaban que Dirty Frag fuera un horror puntual del stack de red del kernel están a punto de tener una semana considerablemente peor.

Investigadores de Wiz han publicado un análisis (https://www.wiz.io/blog/fragnesia-linux-kernel-local-privilege-escalation-via-esp-in-tcp) de "Fragnesia", un fallo de escalada de privilegios locales del kernel de Linux descubierto por William Bowling del equipo de seguridad V12, que permite a usuarios sin privilegios obtener acceso de root mediante la corrupción de la memoria del caché de páginas. El error, rastreado como CVE-2026-46300, cuenta con un código de explotación de prueba de concepto público documentado por V12 en GitHub (https://github.com/v12-security/pocs/tree/main/fragnesia) que demuestra el uso de la vulnerabilidad contra /usr/bin/su para generar un shell de root.

Según Wiz, propiedad de Google, el fallo reside en el subsistema XFRM del kernel de Linux, específicamente en el procesamiento ESP-in-TCP vinculado al soporte de IPsec. Al activar cuidadosamente el error, los atacantes pueden modificar datos de archivos protegidos en memoria sin cambiar los archivos originales almacenados en el disco.

Wiz describe a Fragnesia como parte de la familia de errores "Dirty Frag" más amplia, en lugar de una clase de problema completamente separada. El propio Dirty Frag apareció hace solo unos días y ya estaba llamando la atención gracias al código de explotación público, la cobertura de parches incompleta y una escalada de privilegios inusualmente fiable.

Según el investigador Hyunwoo Kim, quien descubrió Dirty Frag, "Fragnesia" surgió como un efecto secundario involuntario de los parches enviados para solucionar las vulnerabilidades originales de Dirty Frag, añadiendo una entrada más a la larga tradición de correcciones de seguridad que crean accidentalmente nuevos problemas de seguridad.

Como se informó anteriormente, Dirty Frag siguió muy de cerca a Copy Fail, otro fallo de escalada de privilegios del kernel de Linux que abusaba del manejo del caché de páginas para sobrescribir archivos supuestamente de solo lectura.

Históricamente, los errores de escalada de privilegios locales de Linux tenían fama de ser poco fiables, propensos a fallos o lo suficientemente complicados como para que los atacantes necesitaran una sincronización perfecta y bastante suerte para lograrlos limpiamente. Fragnesia parece diferente, ya que tanto Wiz como V12 afirman que el exploit evita completamente las condiciones de carrera, lo que lo hace mucho más predecible que los antiguos exploits de root de Linux como Dirty COW.

Esto hace que el error sea mucho más útil después de un compromiso inicial. Un atacante que obtiene acceso a un sistema mediante phishing, credenciales robadas o una carga de trabajo en la nube vulnerable tiene, de repente, un camino más limpio hacia el acceso total de root.

El repositorio de prueba de concepto de V12 ya es público, mientras que los proveedores de Linux han comenzado a lanzar avisos y guías de mitigación. AlmaLinux advirtió (https://almalinux.org/blog/2026-05-13-fragnesia-cve-2026-46300/) que todas las versiones compatibles están afectadas e instó a los administradores a parchear rápidamente o deshabilitar la funcionalidad relacionada con ESP que no se utilice donde sea posible.

Avisos similares también han sido emitidos por Amazon Linux, CloudLinux, Debian, Gentoo, Red Hat Enterprise Linux, SUSE y Ubuntu, mientras los distribuidores se apresuran a evaluar la exposición en las versiones compatibles del kernel.

Microsoft también instó (https://x.com/MsftSecIntel/status/2054701609024934064) a las organizaciones a parchear rápidamente, señalando que, aunque no había observado la explotación en entornos reales hasta ahora, Fragnesia "puede modificar cualquier archivo legible por el usuario, incluido /etc/passwd".

El stack de red de Linux empieza a parecerse menos a una infraestructura y más a una máquina expendedora de exploits de root.

Fuente:
TheRegister