Overzicht #
Een nieuwe kwetsbaarheid voor lokale privilege-escalatie in de Linux-kernel, bekend als Fragnesia, is onthuld onder CVE-2026-46300.
Fragnesia behoort tot dezelfde kwetsbaarheidscategorie als de recent ontdekte Dirty Frag en Copy Fail.
De kwetsbaarheid betreft het XFRM/ESP-in-TCP-subsysteem van de Linux-kernel, waardoor een lokale gebruiker zonder beheerdersrechten mogelijk rootrechten kan verkrijgen door gecontroleerde corruptie van de paginacache.
Kwetsbaarheidsdetails #
CVE:CVE-2026-46300
Naam: Fragnesia
TypeLokale privilege-escalatie
Betrokken component: Linux Kernel XFRM ESP-in-TCP
Aanval Vector: Lokaal
Vereiste privileges: Laag
Gebruikersinteractie: Geen
Impact: Escalatie van rootrechten
Technische beschrijving #
De kwetsbaarheid zit in de manier waarop de Linux-kernel ESP-in-TCP (XFRM/IPsec) verwerkt tijdens specifieke pakketverwerkingsomstandigheden, waaronder: splice(), sendfile(), verwijzingen naar de paginacache en de verwerking van ESP/XFRM-pakketten. De kernel kan namelijk het gedeelde paginacachegeheugen onjuist manipuleren, waardoor gecontroleerde wijziging van alleen-lezen gecachede bestanden mogelijk wordt.
Onderzoekers hebben zelfs aangetoond dat het mogelijk is om de in de cache opgeslagen inhoud te overschrijven. /usr/bin/su Om rootrechten te verkrijgen zonder het daadwerkelijke bestand op de schijf te wijzigen.
Relatie tot Dirty Frag #
Fragnesia wordt beschouwd als onderdeel van de Dirty Frag-kwetsbaarheidsklasse en treft hetzelfde netwerkoppervlak van de Linux-kernel: XFRM, ESP en IPsec-verwerking.
Onderzoekers gaven aan dat de kwetsbaarheid bereikbaar werd nadat een van de Dirty Frag-fixes een gerelateerd codepad blootlegde.
RELIANOID Effectbeoordeling #
Standaard RELIANOID Load balancer-installaties worden als een laag risico beschouwd omdat:
- RELIANOID maakt standaard geen gebruik van de kwetsbare functionaliteit.
- ESP/XFRM-modules zijn niet actief vereist voor standaard ADC/load balancing-bewerkingen.
- De gebruikelijke HTTP/HTTPS/TCP/UDP-farms worden niet beïnvloed.
Impact van VPN/IPsec-modules #
RELIANOID omgevingen die gebruikmaken van Netwerk > VPN or IPsec-gebaseerde VPN De functionaliteit kan ertoe leiden dat de betreffende Linux-kernelmodules dynamisch worden geladen. Mogelijk getroffen modules zijn onder andere: esp4, esp6, xfrm_user en xfrm_algo.
Daarom is het risico per RELIANOID De functie is als volgt:
Standaard taakverdeling: Laag
HTTP/HTTPS-farms Laag
L4-boerderijen: Laag
GSLB: Laag
IPDS: Laag
IPsec VPN-moduleMogelijk getroffen
Hoe u de getroffen modules kunt controleren #
Controleer of kwetsbare modules geladen zijn:
lsmod | egrep 'esp4|esp6|xfrm'
Voorbeeld van een kwetsbare uitvoer:
esp4 esp6 xfrm_user
Als er geen modules worden weergegeven, is de kwetsbare functionaliteit momenteel niet actief.
Controleer actief IPsec-gebruik #
U kunt ook de actieve IPsec/XFRM-beleidsregels controleren:
ip xfrm status ip xfrm beleid
Als het veld leeg is, wordt IPsec waarschijnlijk niet gebruikt.
Tijdelijke beperking #
Als de IPsec VPN-functionaliteit NIET vereist is, kunnen de betreffende modules worden uitgeschakeld.
Maken:
/etc/modprobe.d/fragnesia.conf
met:
installeer esp4 /bin/false installeer esp6 /bin/false installeer rxrpc /bin/false
Ontlaad modules en wis de cache indien deze al actief zijn:
modprobe -r esp4 esp6 xfrm_user xfrm_algo sync; echo 3 > /proc/sys/vm/drop_caches
Deze oplossing is dezelfde als die officieel wordt aanbevolen voor Dirty Frag.
Belangrijke waarschuwing: Pas deze maatregel NIET toe als RELIANOID maakt actief gebruik van IPsec VPN-tunnels, ESP-transport of XFRM-gebaseerde services. Anders kunnen VPN-services stoppen met werken.
RELIANOID Aanbeveling #
RELIANOID Klanten wordt geadviseerd om:
- Controleer of de IPsec/XFRM-modules actief zijn.
- Voer updates uit zodra deze beschikbaar komen.
- Schakel ongebruikte ESP/XFRM-modules waar mogelijk uit.
- Controleer de software van derden die op het apparaat is geïnstalleerd.
Patches om deze kwetsbaarheid te verhelpen zullen beschikbaar komen in de releases EE > 8.5.
