ثغرة Dirty Frag فـ Linux Kernel كتجمع بين جوج ثغرات ديال Page-Cache باش تعطي صلاحيات Root

خلاصة — بانت ثغرة جديدة ديال تصعيد الصلاحيات محليا سميتها Dirty Frag، واللي كتجمع بين جوج أخطاء ديال page-cache write فـ Linux kernel باش تعطي صلاحيات root فالتوزيعات الكبيرة. هاد الثغرة ماعمرها كاتحتاج لـ race conditions ونسبة النجاح ديالها طالعة بزاف. كاين proof-of-concept (PoC) خدام حاليا، وتم الإبلاغ للمطوّرين ديال Linux kernel نهار 30 أبريل 2026. خاصنا نديرو بلوك لـ kernel modules بحال esp4، esp6، و rxrpc حتى يتوفرو الترقيعات.

شنو وقع

الباحث الأمني Hyunwoo Kim كشف على التفاصيل ديال Dirty Frag، واللي هي ثغرة ديال تصعيد الصلاحيات محليا كتجمع بين جوج ديال page-cache write flaws مختلفين: ثغرة xfrm-ESP Page-Cache Write وثغرة RxRPC Page-Cache Write. على حساب التقرير ديال Kim، هاد الثغرة كتوصل لصلاحيات root عن طريق استغلال الضعف فكيفاش in-place decryption fast paths ديال الكيرنل كيتعاملو مع externally-backed pages فـ subsystems ديال ESP (Encapsulating Security Payload) و RxRPC (Reliable Datagram Protocol).

النسخة ديال xfrm-ESP، اللي كاين الساس ديالها فـ IPSec subsystem، بانت بسباب واحد source code commit تدار نهار 17 يناير 2017. هاد الكوميت نيت هو اللي كان السبب الرئيسي فـ CVE-2022-27666، واللي هي ثغرة ديال buffer overflow كتقيس بزاف ديال توزيعات Linux. أما النسخة ديال RxRPC، فبانت فشهر يونيو 2023.

اللي كيميز Dirty Frag على page-cache write exploits القدام هو الطبيعة الحتمية ديالها (deterministic nature). على عكس الثغرات اللي كتعتمد على توقيت معين (timing windows) ولا race conditions، هاد Dirty Frag خدامة بحال logic bug. الكيرنل ماكيوقعش ليه panic يلا فشل الاستغلال، ونسبة النجاح موصوفة بأنها طالعة بزاف.

القوة ديال هاد الثغرة كاينة فكيفاش هاد الجوج نسخ كيكملو بعضياتهم فـ threat models مختلفة. الاستغلال ديال xfrm-ESP كيحتاج القدرة باش يتصاوب user namespace — وهادي صلاحية مبلوكية بشكل افتراضي فـ Ubuntu عن طريق AppArmor. فالمقابل، الاستغلال ديال RxRPC ماكيحتاجش يتصاوب namespace، ولكن كيعتمد على أن الـ rxrpc kernel module يكون مخدّم (loaded). فالـ Ubuntu كيتشارجا هاد الموديول بشكل افتراضي، فاش RHEL 10.1 ماديرهاش. وباش يجمعو بين هاد الجوج استغلالات، المهاجمين يقدرو يستهدفو بيئات اللي كانت غادي تفشل فيها نسخة وحدة بوحدها.

تنشر proof-of-concept خدام يقدر يطلّع الصلاحيات لـ root بـ كوماند وحدة. تم الإبلاغ على هاد الثغرة للمطوّرين ديال Linux kernel نهار 30 أبريل 2026، ومازال ماعندهاش ترقيع.

علاش هادشي مهم

ثغرة Dirty Frag كتمثل سطح هجوم خطير لأي سيستيم اللي كيكون فيه local code execution ديجا ممكن. أي مستخدم محلي ماعندوش صلاحيات (unprivileged local user) — بحال شي آبليكاسيون خدامة بصلاحيات محدودة ولا مستخدم فسيستيم مشترك — يقدر يطلّع الصلاحيات ديالو لـ root بواحد السهولة ومجهود قليل. نسبة النجاح العالية والقدرة على الاستغلال بلا الاعتماد على race conditions كيعني أن الاستغلال موثوق ويقدر يتعاود بشكل مضمون.

هاد الثغرة كتقلق بزاف فبيئات multi-tenant، والـ container hosts، والأنظمة اللي كتعتمد على فرض الحدود بين الكود اللي عندو صلاحيات واللي ماعندوش. الوجود ديال PoC خدام كيقصّر الوقت اللي بين الكشف على الثغرة والاستغلال الفعلي ديالها.

المهم فهادشي هو أن الحلول المؤقتة (mitigations) اللي تدارت باش تحمي من ثغرة Copy Fail (CVE-2026-31431) ماكتحميش من Dirty Frag. البلاك ليست ديال algif_aead module اللي تستعملات بزاف باش تمنع Copy Fail ما خداماش ضد هاد الثغرة، وهادشي كيطلب إجراءات دفاعية مختلفة.

الأنظمة المتضررة والـ CVEs

• Ubuntu 24.04.4
• RHEL 10.1
• openSUSE Tumbleweed
• CentOS Stream 10
• AlmaLinux 10
• Fedora 44
• Linux kernel (بشكل عام)

CVEs:

• CVE-2026-31431 (Copy Fail، بـ CVSS 7.8 — ثغرة سابقة وعندها استغلال نشط)
• CVE-2022-27666 (بـ CVSS 7.8 — ثغرة buffer overflow ناتجة على نفس الكوميت ديال 17 يناير 2017)

حتى لوقت النشر، ما تعطى حتى شي رقم CVE لـ Dirty Frag براسها.

شنو خاصنا نديرو

• دير بلوك لـ kernel modules المتضررة فالبلاصة. منع الموديلات esp4، esp6، و rxrpc باش ما يتشارجاوش. نفذ هاد الكوماند: sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

• راقب التحديثات ديال الكيرنل. راهم عْلْمُو المطوّرين ديال Linux kernel. قلب فـ release notes ديال الكيرنل والإشعارات الأمنية ديال التوزيعة ديالك باش تعرف واش الترقيع متوفر.

• طبّق الترقيعات على الكوميتات cac2661c53f3 و 2dc334f1a63a فـ kernel repository ملي يولِّيو متوفرين.

• راجع الحلول المؤقتة ديال Copy Fail. ما تعتمدش غير على البلوكاج ديال algif_aead module، حيت هادشي ماكيحميش من Dirty Frag.

أسئلة مازال مطروحة

• ما تنشر حتى شي رقم CVE محدد لـ Dirty Frag حتى لوقت النشر.
• ما مذكورش الوقت المحدد باش يتوفرو الترقيعات الرسمية ديال الكيرنل من عند المطوّرين.
• مازال ماواضحش واش Dirty Frag كتقيس توزيعات Linux خرى من غير هادوك اللي تذكرو بشكل صريح فاللائحة.
• التفاصيل التقنية الكاملة ديال كيفاش كيتجمعو هاد الجوج ثغرات ديال page-cache ما مشروحاش فالمصدر.
• ما مذكوراش واش الإصدارات ديال الكيرنل اللي قبل من يناير 2017 مقيوسة بهاد الثغرة.

Source

Linux Kernel Dirty Frag LPE Exploit Enables Root Access Across Major Distributions