Las distribuciones de Linux están lanzando parches para "Fragnesia" (CVE-2026-46300), una vulnerabilidad de alta severidad que permite a atacantes locales obtener privilegios de root. El fallo reside en el subsistema XFRM ESP-in-TCP y afecta a todos los kernels anteriores al 13 de mayo de 2026. Se recomienda actualizar el sistema inmediatamente o aplicar mitigaciones eliminando los módulos del kernel afectados.



Las distribuciones de Linux están implementando parches para una nueva vulnerabilidad de escalada de privilegios del kernel de gravedad alta que permite a los atacantes ejecutar código malicioso como root.

Conocida como Fragnasia y rastreada como CVE-2026-46300, este fallo de seguridad se deriva de un error de lógica en el subsistema Linux XFRM ESP-in-TCP que puede permitir a atacantes locales sin privilegios obtener privilegios de root escribiendo bytes arbitrarios en la caché de páginas del kernel de archivos de solo lectura.

El jefe de aseguramiento de Zellic, William Bowling, quien descubrió este nuevo fallo universal de escalada de privilegios locales, también compartió un exploit de prueba de concepto (PoC) que logra una primitiva de escritura de memoria en el kernel utilizada para corromper la memoria de la caché de páginas del binario /usr/bin/su para obtener una shell con privilegios de root en sistemas vulnerables.

Bowling señaló que este fallo pertenece a la clase de vulnerabilidad Dirty Frag, revelada la semana pasada, y afecta a todos los kernels de Linux lanzados antes del 13 de mayo de 2026. Al igual que Fragnasia, Dirty Frag tiene un exploit PoC disponible públicamente que los atacantes locales pueden usar para obtener privilegios de root en las principales distribuciones de Linux.

Sin embargo, Dirty Frag funciona encadenando dos fallos de kernel independientes, la vulnerabilidad de escritura de caché de páginas xfrm-ESP (CVE-2026-43284) y un problema de seguridad de escritura de caché de páginas RxRPC (CVE-2026-43500), para lograr la escalada de privilegios modificando archivos protegidos del sistema en la memoria.

"Fragnesia es un miembro de la clase de vulnerabilidad Dirty Frag. Este es un error separado en el ESP/XFRM de dirtyfrag que ha recibido su propio parche. Sin embargo, está en la misma superficie y la mitigación es la misma que para dirtyfrag", afirmó Bowling.

"Abusa de un error de lógica en el subsistema Linux XFRM ESP-in-TCP para lograr escrituras de bytes arbitrarios en la caché de páginas del kernel de archivos de solo lectura, sin requerir ninguna condición de carrera".

otro día, otra LPE universal de linux https://t.co/GANYkAJwZS pic.twitter.com/XfzTsmg7kl

— V12 (@v12sec) 13 de mayo, 2026 enlace

Para asegurar los sistemas contra ataques, se recomienda a los usuarios de Linux aplicar las actualizaciones del kernel para su entorno lo antes posible.

Aquellos que no puedan parchear sus dispositivos inmediatamente deben utilizar la misma mitigación utilizada para los comandos Dirty Frag para eliminar los módulos del kernel vulnerables (sin embargo, es importante señalar que esto romperá los sistemas de archivos de red distribuidos AFS y las VPN IPsec):

rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf

La revelación de Fragnasia se produce mientras las distribuciones de Linux todavía están implementando parches para "Copy Fail", otra vulnerabilidad de escalada de privilegios que ahora está siendo explotada activamente.

CISA añadió Copy Fail a su catálogo de fallos explotados en ataques el 1 de mayo y ordenó a las agencias federales asegurar sus sistemas Linux en dos semanas, para el 15 de mayo.

"Este tipo de vulnerabilidad es un vector de ataque frecuente para los actores cibernéticos maliciosos y plantea riesgos significativos para la empresa federal", advirtió la agencia de ciberseguridad de EE. UU. "Aplique las mitigaciones según las instrucciones del proveedor, siga la guía BOD 22-01 aplicable para los servicios en la nube o deje de usar el producto si las mitigaciones no están disponibles".

En abril, las distribuciones de Linux parchearon otra vulnerabilidad de escalada de privilegios de root (denominada Pack2TheRoot) en el demonio PackageKit que había pasado desapercibida durante una década.

Fuente:
BleepingComputer