Se ha descubierto una nueva vulnerabilidad en el kernel de Linux llamada Fragnesia (CVE-2026-46300), que permite a usuarios locales obtener acceso root. El fallo reside en el subsistema XFRM ESP-in-TCP y permite modificar archivos de solo lectura en la caché de páginas del kernel. Diversas distribuciones ya han lanzado parches y se recomienda actualizar los sistemas o aplicar las mitigaciones de Dirty Frag.




Han surgido detalles sobre una nueva variante de la reciente vulnerabilidad de escalada de privilegios locales (LPE) de Linux Dirty Frag que permite a los atacantes locales obtener acceso root, convirtiéndose en el tercer error de este tipo identificado en el kernel en un lapso de dos semanas.

Bajo el nombre en clave Fragnesia [enlace], la vulnerabilidad de seguridad está rastreada como CVE-2026-46300 (puntuación CVSS: 7.8) y tiene su origen en el subsistema XFRM ESP-in-TCP del kernel de Linux. Fue descubierta por el investigador William Bowling del equipo de seguridad V12.

"La vulnerabilidad permite que atacantes locales no privilegiados modifiquen el contenido de archivos de solo lectura en la caché de páginas del kernel y logren privilegios de root a través de una primitiva determinista de corrupción de la caché de páginas", afirmó Wiz, propiedad de Google [enlace].

Se han publicado avisos por parte de múltiples distribuciones de Linux:

• * AlmaLinux [enlace]
• * Amazon Linux [enlace]
• * CloudLinux [enlace]
• * Debian [enlace]
• * Gentoo [enlace]
• * Red Hat Enterprise Linux [enlace]
• * SUSE [enlace]
• * Ubuntu [enlace]

"Este es un error independiente en el ESP/XFRM de Dirty Frag que ha recibido su propio parche", dijo V12. "Sin embargo, se encuentra en la misma superficie y la mitigación es la misma que para Dirty Frag. Abusa de un error de lógica en el subsistema Linux XFRM ESP-in-TCP para lograr escrituras de bytes arbitrarios en la caché de páginas del kernel de archivos de solo lectura, sin requerir ninguna condición de carrera".

Fragnesia es similar a Copy Fail [enlace] y Dirty Frag [enlace] (también conocido como Copy Fail 2) en el sentido de que otorga root inmediatamente en todas las distribuciones principales al lograr una primitiva de escritura de memoria en el kernel y corromper la memoria de la caché de páginas del binario /usr/bin/su. V12 ha publicado un exploit de prueba de concepto (PoC).



"Los clientes que ya han aplicado la mitigación de Dirty Frag no necesitan realizar ninguna acción adicional hasta que se lancen los kernels parcheados", dijeron los mantenedores de CloudLinux. Red Hat afirmó [enlace] que está realizando una evaluación para confirmar si las mitigaciones existentes se extienden a CVE-2026-46300.

Wiz también señaló que las restricciones de AppArmor en los espacios de nombres de usuario no privilegiados pueden servir como una mitigación parcial, requiriendo saltos adicionales para una explotación exitosa. Sin embargo, a diferencia de Dirty Frag, no se requieren privilegios a nivel de host.

"Hay un parche disponible y, aunque no se ha observado ninguna explotación real hasta el momento, instamos a los usuarios y organizaciones a aplicar el parche lo antes posible ejecutando las herramientas de actualización", dijo Microsoft [enlace]. "Si no es posible parchear en este momento, considere aplicar las mismas mitigaciones para Dirty Frag".

Esto incluye la desactivación de esp4, esp6 y la funcionalidad relacionada de xfrm/IPsec, la restricción del acceso local a la shell innecesario, el endurecimiento de las cargas de trabajo en contenedores y el aumento del monitoreo de actividades anormales de escalada de privilegios.

Este desarrollo ocurre mientras se ha observado a un actor de amenazas llamado "berz0k" anunciando en foros de cibercrimen un exploit LPE de Linux de día cero por 170.000 dólares, afirmando que funciona en múltiples distribuciones principales de Linux.

"El actor de amenazas afirma que la vulnerabilidad se basa en TOCTOU (Time-of-Check Time-of-Use), es capaz de realizar una escalada de privilegios locales estable sin causar bloqueos del sistema y aprovecha un payload de objeto compartido (.so) depositado en el directorio /tmp", dijo ThreatMon [enlace] en una publicación en X.

Fuente:
THN