Linux çekirdeğinde keşfedilen yeni bir yerel ayrıcalık yükseltme (LPE) zafiyeti, sistem güvenliğini tehdit ediyor. Fragnesia olarak adlandırılan ve CVE-2026-46300 koduyla izlenen bu açık, Dirty Frag ailesinin üçüncü üyesi olarak kayıtlara geçti. Bulut güvenlik firması Wiz'in analizine göre zafiyet, Zellic'ten William Bowling ve V12 ekibi tarafından keşfedildi. 13 Mayıs'ta yayımlanan açıklamayla birlikte çalışan bir proof-of-concept (PoC) istismar kodu da kamuya sunuldu.
Fragnesia, tüm Linux çekirdeklerini etkiliyor ve ayrıcalıksız yerel kullanıcıların, salt okunur dosyaların çekirdek sayfa önbelleğine keyfi baytlar yazarak root yetkisi elde etmesine olanak tanıyor. Bu, sistemdeki kritik dosyaların bellekteki kopyalarının değiştirilmesiyle gerçekleşiyor. Özellikle /usr/bin/su gibi yetki yükseltme araçlarının hedef alınması, saldırganın root kabuğuna erişmesini sağlıyor. Üstelik değişiklikler yalnızca bellekte yapıldığı için diskteki dosyalar orijinal kalıyor ve standart adli bilişim yöntemleriyle tespit edilemiyor.
Zafiyetin temelinde, çekirdeğin soket tamponlarını birleştirirken paylaşılan sayfa parçalarını izleme mekanizmasındaki bir hata yatıyor. Belirli bir işlem sırası takip edildiğinde, çekirdek hangi bellek sayfalarının harici dosyalarla desteklendiğini gözden kaçırıyor. Saldırgan, dosya içeriğini bir TCP soketine besleyip ardından aynı sokette ESP-in-TCP şifrelemesini etkinleştirerek bu karışıklığı yapay olarak oluşturabiliyor. Çekirdek, kuyruktaki baytları doğrudan önbelleğe alınmış dosya sayfaları üzerinde şifre çözüyor ve AES-GCM anahtar akışı, bellekte kontrollü üzerine yazmalar üretiyor.
Sonuç ve Değerlendirme
Bowling, Fragnesia'yı 'dirtyfrag'dan ayrı, ancak aynı çekirdek saldırı yüzeyinde bulunan bir ESP/XFRM hatası' olarak tanımladı. Dirty Frag'ın kaşifi Hyunwoo Kim ise yeni açığın, orijinal zafiyetleri gidermek için yapılan yamalardan birinin istenmeyen bir yan etkisi olarak ortaya çıktığını belirtti. Bu, güvenlik yamalarının bazen yeni güvenlik açıklarına yol açabileceğini gösteriyor.
Önemli Gelişmeler
Fragnesia, Nisan ve Mayıs aylarında keşfedilen Copy Fail (CVE-2026-31431) ve Dirty Frag (CVE-2026-43284, CVE-2026-43500) zafiyetlerinin ardından gelen üçüncü kritik Linux çekirdek açığı oldu. Üst akış düzeltmesi 13 Mayıs'ta netdev posta listesine gönderildi ancak henüz ana hat çekirdeğine birleştirilmedi. Bununla birlikte, birçok Linux dağıtımı kendi geri portlanmış yamalarını dağıtmaya başladı.
Sistem Güvenliği
Fragnesia, Dirty Frag ile aynı esp4, esp6 ve rxrpc çekirdek modüllerini kullanıyor. Bu nedenle, Dirty Frag'a karşı geçici önlem olarak bu modülleri devre dışı bırakan yöneticiler, yamalı çekirdekler mevcut olana kadar Fragnesia'ya karşı da korunmuş oluyor. Ayrıca, ayrıcalıklı olmayan kullanıcı ad alanlarının kısıtlanması ve şüpheli ad alanı oluşturma veya XFRM manipülasyonunun izlenmesi önerilen geçici adımlar arasında yer alıyor. Sistem yöneticilerinin bu açığı ciddiye alması ve güncellemeleri takip etmesi kritik önem taşıyor.
Kaynak: infosecurity-magazine.com
