Linux yerel ayrıcalık yükseltme kusurlarının Dirty Frag ailesinin yeni bir çeşidi ortaya çıktı; üç hafta içinde açıklanan üçüncü kök düzeyindeki Linux çekirdek hatası.
Bulut güvenlik firması Wiz'in yeni analizine göre Fragnesia olarak adlandırılan ve CVE-2026-46300 olarak takip edilen güvenlik açığı, Zellic'ten William Bowling ve V12 ekibi tarafından keşfedildi. 13 Mayıs'taki açıklamayla birlikte çalışan bir kavram kanıtı (PoC) istismarı yayınlandı.
Kusur, bu tarihten önce piyasaya sürülen tüm Linux çekirdeklerini etkiliyor ve ayrıcalığı olmayan yerel kullanıcıların, salt okunur dosyaların çekirdek sayfası önbelleğine rastgele baytlar yazarak kök kazanmalarına olanak tanıyor.
Detaylar ve Etkileri
ESP Şifre Çözme Yoluyla Sayfa Önbelleği Bozulması
Sistem Güvenliği
Kusur, çekirdeğin soket arabelleklerini birleştirirken paylaşılan sayfa parçalarını nasıl takip ettiğinden kaynaklanmaktadır. Doğru işlemler dizisi altında, bu defter tutma işlemi başarısız olur ve çekirdek, hangi bellek sayfalarının harici dosyalar tarafından desteklendiğini göremez hale gelir.
Saldırgan, dosya içeriğini bir TCP yuvasına besleyerek ve daha sonra aynı yuvada TCP içinde ESP şifrelemesini etkinleştirerek bu karışıklığı yaratabilir. Çekirdek daha sonra, AES-GCM anahtar akışının bellekte kontrollü üzerine yazma işlemleri üretmesiyle, sıraya alınmış baytların şifresini doğrudan önbelleğe alınmış dosya sayfaları üzerinden çözmeye devam eder.
Bowling tarafından yayınlanan PoC'de bu teknik, /usr/bin/su dosyasının açılış baytlarını kök kabuğa düşen kısa bir yük ile yeniden yazmak için kullanıldı. Değişiklik yalnızca ikili dosyanın çekirdeğin bellek içi kopyasında yapıldığından, diskteki dosyaya dokunulmaz ve kurcalama, standart disk adli bilimi için hiçbir iz bırakmaz.
Sonuç ve Değerlendirme
Linux çekirdeği kusurları hakkında daha fazlasını okuyun: CrackArmor Kusurları Linux Sistemlerini Ayrıcalık Artışına Maruz Bırakıyor
Kirli Frag Yamasının Yan Etkisi
Bowling, Fragnesia'yı aynı çekirdek saldırı yüzeyinde yaşayan "ESP/XFRM'deki kirli fragdan ayrı bir hata" olarak tanımladı. Dirty Frag'ın arkasındaki araştırmacı Hyunwoo Kim, yeni kusurun, orijinal güvenlik açıklarını gideren yamalardan birinin istenmeyen bir yan etkisi olarak ortaya çıktığını söyledi.
Açıklama, son haftalarda açıklanan diğer iki Linux çekirdeği yerel ayrıcalık yükseltme kusurunun ardından geldi; 29 Nisan'da Kopyalama Başarısızlığı (CVE-2026-31431) ve 7 Mayıs'ta Dirty Frag (CVE-2026-43284 ve CVE-2026-43500).
Gelecekte Ne Bekleniyor?
13 Mayıs'ta netdev posta listesine bir aday yukarı akış düzeltmesi gönderildi ve yayınlandığı sırada ana hat çekirdeğiyle birleştirilmemişti. Ancak bazı Linux dağıtımları kendi desteklenen yamalarını göndermeye başladı.
Fragnesia, Dirty Frag ile aynı esp4, esp6 ve rxrpc çekirdek modüllerini kullanıyor; bu, bu modülleri Dirty Frag'e karşı geçici bir savunma olarak zaten devre dışı bırakmış olan yöneticilerin, yamalı çekirdekler mevcut olana kadar Fragnesia'nın kapsamına gireceği anlamına geliyor.
Uzmanların Görüşleri
Ayrıcalıksız kullanıcı ad alanlarının kısıtlanması ve şüpheli ad alanı oluşturulmasının veya XFRM manipülasyonunun izlenmesi de önerilen geçici adımlardır.
