Overzicht #

Dit artikel bevat aanvullende technische details over de kwetsbaarheden in de Linux-kernel:

CVE-2026-43284
CVE-2026-43500

Deze kwetsbaarheden worden gezamenlijk aangeduid als Dirty Frag en treffen specifieke Linux-kernelpaden voor pakketverwerking die verband houden met:

• XFRM/IPsec
• ESP (Encapsulerende beveiligingspayload)
• Gedeelde socketbufferfragmenten (skb frags)
• UDP-pakketsplitsingsverwerking

Officiële referenties:

NVD – CVE-2026-43284
NVD – CVE-2026-43500

Technische achtergrond #

CVE-2026-43284 #

Volgens de beheerders van de Linux-kernel is de kwetsbaarheid ontstaan ​​door onjuiste afhandeling van:

• Gedeelde skb-fragmenten
• UDP-paginaverwerking voor splicing
• ESP-in-place-decryptieoperaties

Het probleem doet zich voor omdat:

MSG_SPLICE_PAGES kan extern beheerde pagina's rechtstreeks in pakketbuffers plaatsen.

UDP-paden hebben die fragmenten niet als gedeeld gemarkeerd met behulp van: SKBFL_SHARED_FRAG

Bijgevolg:

• Bij de ESP-verwerking wordt ten onrechte aangenomen dat de pakketgegevens privébezit zijn.
• ESP-decryptie kan rechtstreeks via gedeeld geheugen plaatsvinden.
• Geheugenbeschadiging of onbedoelde gegevenswijziging kan voorkomen.

De kernelcorrectie die door de upstream-versie wordt doorgevoerd, introduceert het volgende:

• Correcte registratie van fragmenteigendom
• Aanvullende auteursrechtbescherming
• Veiliger terugvalgedrag met behulp van: skb_cow_data()

CVE-2026-43500 #

Op het moment van schrijven:

• CVE-2026-43500 blijft in de status 'Gereserveerd'.
• De openbare technische details zijn nog beperkt.

Het is echter wel gerelateerd aan dezelfde Dirty Frag-kwetsbaarheidsfamilie en het kernelnetwerksubsysteem.

RELIANOID Blootstellingsanalyse #

Standaard RELIANOID implementaties #

RELIANOID gebruikt zelf niet:

• Aangepaste UDP-splitsingspaginaverwerking
• Ruwe ESP-pakketmanipulatie
• Directe interacties met de XFRM-kernel

Daarom is de standaard RELIANOID De installaties worden onder normale bedrijfsomstandigheden niet blootgesteld aan risico's.

VPN geconfigureerd RELIANOID implementaties #

RELIANOID implementaties waarbij de VPN-functionaliteit (Netwerk > VPN) of aangepaste VPN-configuraties zijn ingeschakeld en kunnen, afhankelijk van de VPN-configuratie, gebruikmaken van de Linux IPsec/XFRM-functionaliteit.

Dit betekent:

• IPsec-gerelateerde kernelmodules kunnen worden geladen wanneer VPN/IPsec-functies zijn ingeschakeld.
• ESP/XFRM-modules kunnen actief worden.
• De betreffende kernelpaden zouden theoretisch bereikbaar kunnen worden.

Mogelijk geladen modules #

Wanneer VPN/IPsec-functionaliteit is geconfigureerd, kunnen de volgende modules verschijnen:

esp4
esp6
xfrm_user
xfrm_algo
xfrm4_mode_transport
xfrm4_mode_tunnel
xfrm6_mode_transport
xfrm6_mode_tunnel

Risicobeoordeling voor RELIANOID VPN-gebruikers #

Momenteel:

• Geen bekende actieve exploitatie tegen RELIANOID VPN-implementaties zijn geïdentificeerd
• De exploitatieomstandigheden lijken zeer specifiek te zijn.
• De kwetsbaarheid vereist complexe pakketverwerkingsomstandigheden waarbij gedeelde skb-fragmenten betrokken zijn.

Systemen die actief gebruikmaken van IPsec VPN-functionaliteit moeten echter als potentieel kwetsbaar worden beschouwd totdat gepatchte kernels zijn geïnstalleerd.

Hoe te bepalen of? RELIANOID VPN maakt gebruik van IPsec. #

Controleer de geladen modules:

lsmod | egrep 'esp|xfrm'

Controleer actieve IPsec-statussen #

ip xfrm state

Controleer actieve IPsec-beleidsregels #

ip xfrm beleid

Als er actieve VPN-tunnels bestaan, kan er een uitvoer verschijnen die lijkt op het volgende:

src 10.0.0.1 dst 10.0.1.1 proto esp spi 0x00000001

Aanbevelingen voor risicobeperking #

Systemen die GEEN VPN/IPsec gebruiken #

Als VPN-functionaliteit niet nodig is:

Modules ontladen en caches leegmaken

modprobe -r esp4 esp6 xfrm_user xfrm_algo sync; echo 3 > /proc/sys/vm/drop_caches

Modules op de zwarte lijst zetten

Maken:

/etc/modprobe.d/disable-xfrm.conf

Inhoud:

blacklist esp4 blacklist esp6 blacklist xfrm_user blacklist xfrm_algo blacklist xfrm4_mode_transport blacklist xfrm4_mode_tunnel blacklist xfrm6_mode_transport blacklist xfrm6_mode_tunnel

Systemen die GEBRUIK MAKEN van RELIANOID VPN/IPsec #

Als de VPN-module actief in gebruik is:

Aanbevolen acties

• Voer de kernelupdates van de leverancier direct uit zodra deze beschikbaar zijn.
• Beperk de VPN-toegang tot alleen vertrouwde partners.
• Beperk onnodige software van derden.
• Monitor RELIANOID beveiligingsadviezen
• Bewaak afwijkend kernel-/netwerkgedrag.

Patches om deze kwetsbaarheid te verhelpen zullen beschikbaar komen in de releases EE > 8.5.

Aanvullende aanbevelingen voor verharding #

Beperk onbetrouwbare pakketbronnen #

Gebruik firewallregels om het volgende te beperken:

• Openbare blootstelling aan ESP
• Onbetrouwbaar UDP-encapsulatieverkeer
• Externe VPN-peers

Minimaliseer de interactie met de kernel van derden. #

Vermijd:

• Aangepaste frameworks voor pakketmanipulatie
• Onbetrouwbare netwerksoftware
• Experimentele kernelmodules

Validatie na beperking #

Controleer of de betreffende modules niet geladen zijn:

lsmod | egrep 'esp|xfrm'

Verwacht resultaat:

(geen uitvoer)

Samenvatting #

De Dirty Frag-kwetsbaarheden CVE-2026-43284 en CVE-2026-43500 Dit heeft gevolgen voor de ESP/XFRM-verwerking in de Linux-kernel die verband houdt met IPsec-netwerken.

Kernverduidelijking

• Standaard RELIANOID De functionaliteit voor taakverdeling blijft onaangetast.
• De RELIANOID De VPN/IPsec-module kan de betreffende kernelmodules laden.
• Systemen die gebruikmaken van: Netwerk > VPN Of aangepaste VPN-configuraties moeten de risico's evalueren en dienovereenkomstig maatregelen treffen om ze te beperken.

RELIANOID beveelt aan:

• Ongebruikte IPsec-functionaliteit uitschakelen
• Kernelupdates van leveranciers toepassen
• Het beperken van de blootstelling aan VPN-diensten
• Het monitoren van officiële beveiligingsadviezen voor de kernel.