Dirty Frag: Nuevo Exploit Linux que Otorga Root Sin Parche Definitivo Disponible

Un nuevo exploit de escalada de privilegios en el kernel de Linux, denominado Dirty Frag, está circulando públicamente sin parches oficiales disponibles para la mayoría de distribuciones.

Reportado por el investigador de seguridad Hyunwoo Kim (v4bel), este ataque permite a usuarios locales obtener acceso root mediante la modificación de copias en memoria de archivos críticos del sistema.

Lo más preocupante: un exploit funcional ya es público, las principales distribuciones no han lanzado correcciones, y las mitigaciones aplicadas para el exploit anterior “Copy Fail” son completamente inefectivas contra Dirty Frag.

Esta guía técnica explica el funcionamiento del ataque, sistemas afectados y medidas de mitigación inmediatas.

Ficha Técnica de Dirty Frag

Advertencia crítica: Dirty Frag no es una variante de Copy Fail. Son vulnerabilidades distintas que requieren mitigaciones específicas.

¿Qué es Dirty Frag y Cómo Funciona?

Dirty Frag explota dos vulnerabilidades independientes en el kernel de Linux que, cuando se encadenan, permiten modificar archivos críticos del sistema en memoria sin alterar su versión en disco.

Vulnerabilidad 1: xfrm-ESP Page-Cache Write (CVE-2026-43284)

Vulnerabilidad 2: RxRPC Page-Cache Write (CVE-2026-43500)

¿Por Qué se Encadenan?

Ninguna vulnerabilidad funciona de forma universal por sí sola:

CVE-2026-43284 (xfrm-ESP)
├─ Funciona en la mayoría de distros
└─ Requiere user namespace (bloqueado por AppArmor en algunos Ubuntu)

CVE-2026-43500 (RxRPC)
├─ No requiere user namespace
└─ Requiere módulo rxrpc.ko (ausente en builds por defecto de muchas distros)

COMBINACIÓN = Cobertura universal de distribuciones principales

Ubuntu es una de las pocas distribuciones que incluye el módulo rxrpc.ko por defecto, lo que la hace vulnerable a ambos vectores individualmente.

⚠️ Diferencias Clave: Dirty Frag vs. Copy Fail

Conclusión operativa: Si aplicaste mitigaciones para Copy Fail, tu sistema sigue vulnerable a Dirty Frag. Debes aplicar nuevas contramedidas específicas.

Sistemas y Distribuciones Afectadas

Distribuciones Confirmadas Vulnerables

Verificación Rápida de Vulnerabilidad

Ejecuta estos comandos para evaluar tu exposición:

# Verificar si los módulos vulnerables están cargados
lsmod | grep -E 'esp4|esp6|rxrpc'

# Verificar si user namespaces están habilitados
cat /proc/sys/kernel/unprivileged_userns_clone 2>/dev/null || echo "No aplica"

# Verificar configuración de AppArmor (Ubuntu)
aa-status 2>/dev/null | grep -i "su\|profile" || echo "AppArmor no activo"

Interpretación:
– Si alguno de los módulos esp4, esp6 o rxrpc aparece en lsmod → Vulnerable
– Si unprivileged_userns_clone devuelve 0 o no existe → CVE-2026-43284 podría ser aplicable
– Si AppArmor está activo con perfiles restrictivos → Posible mitigación parcial

Mitigación Inmediata: Blacklist de Módulos

Mientras se esperan parches oficiales, la única contramedida efectiva es deshabilitar los módulos kernel involucrados.

Comando de Mitigación Automatizada

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"

Desglose del Comando

Verificación Post-Mitigación

# Confirmar que los módulos no pueden cargarse
modprobe esp4 2>&1 | grep -i "install" || echo "Posible problema"

# Verificar que la caché fue limpiada
free -h  # Observar cambio en "buff/cache"

# Revisar archivo de configuración creado
cat /etc/modprobe.d/dirtyfrag.conf

Consideraciones de la Mitigación

⚠️ Impacto funcional:

• esp4/esp6: Pueden afectar conexiones IPsec/VPN que dependen de ESP (Encapsulating Security Payload)
• rxrpc: Puede romper aplicaciones que usan RPC sobre UDP (poco común en entornos generales)

✅ Recomendación:

• Aplica la mitigación en sistemas críticos inmediatamente
• Monitorea funcionalidad de red post-aplicación
• Revierte la mitigación solo después de aplicar parches oficiales y reiniciar

Proceso de Parcheo y Actualización

Estado Actual de Parches por Distribución

Pasos Recomendados Post-Parche

1. Aplicar actualización del kernel:

# Debian/Ubuntu
sudo apt update && sudo apt install linux-image-generic

# Fedora/RHEL/AlmaLinux
sudo dnf upgrade kernel

2. Reiniciar el sistema para cargar el nuevo kernel:

sudo reboot

3. Eliminar mitigación temporal (solo después de confirmar parche):

sudo rm /etc/modprobe.d/dirtyfrag.conf
sudo update-initramfs -u  # Debian/Ubuntu
# O reiniciar para aplicar cambios en otras distros

4. Verificar versión del kernel:

uname -r
# Comparar con versiones parcheadas publicadas por tu distribución

Monitoreo y Detección Proactiva

Indicadores de Compromiso (IoCs)

Monitorea estos eventos como posibles señales de explotación:

# Intentos de carga de módulos bloqueados
grep -i "dirtyfrag\|esp4\|rxrpc" /var/log/kern.log

# Cambios inusuales en /etc/passwd en memoria (requiere herramientas avanzadas)
# Verificar procesos su con comportamientos anómalos
ps aux | grep "su\|bash" | grep -v grep

# Logins root sin contraseña (si CVE-2026-43500 fue explotado)
grep "Accepted.*root" /var/log/auth.log | grep -v "password"

Herramientas Recomendadas para Detección

Conclusión

Dirty Frag representa una amenaza inmediata para sistemas Linux no parcheados. Con un exploit funcional disponible públicamente y parches oficiales aún ausentes en la mayoría de distribuciones, la ventana de exposición es amplia y peligrosa.

Acciones prioritarias para administradores de sistemas:

1. Aplicar mitigación de blacklist inmediatamente en sistemas críticos
2. Verificar exposición mediante los comandos de diagnóstico proporcionados
3. Monitorear canales oficiales de tu distribución para parches
4. Planificar reinicio post-parche para cargar kernel actualizado
5. Reforzar controles de acceso mientras persista la vulnerabilidad

La naturaleza de este ataque —modificación en memoria sin alteración en disco, lo que lo hace particularmente sigiloso. No esperes a que aparezcan indicadores de compromiso: la prevención proactiva es la única defensa efectiva en esta etapa.