CVE-2026-43284
| Sugerencia |
|---|
INFORMACIÓN SUJETA A CAMBIOS. Suscríbase a esta página de la wiki para recibir notificaciones cuando haya novedades (botón "Seguir(W)" en la barra de arriba). |
| Tabla de contenidos |
|---|
Introducción
Bajo el nombre Dirty Frag, y con identificador CVE-2026-43284, se engloban dos vulnerabilidades nuevas que permiten escalar privilegios en Linux. Son muy similares a las anteriores vulnerabilidades Dirty Pipe y Copy Fail y, al igual que ellas, requiere de un usuario local para poder ejecutarse o de ejecución de comandos en un contenedor para poder acceder al host. Sin embargo, el código vulnerable es otro, y por lo tanto las mitigaciones y los parches de las anteriores vulnerabilidades no tienen efecto en ésta.
En el caso actual de Dirty Frag, se basa en código vulnerable en dos módulos distintos: (fuente; https://github.com/tangjie1/dirtyfrag-check)
| Subsistema | Versiones de kernel vulnerables |
|---|---|
| xfrm-ESP | >= 4.10 (2017-01) |
| RxRPC | >= 6.4 (2023-06) |
Estas dos vulnerabilidades son complementarias; en casi todas las distribuiciones linux posteriores al 2017, si no funciona un método funciona el otro.
Gravedad y prioridad
La vulnerabilidad está confirmada, los datos técnicos han sido publicados y el exploit es fácil de conseguir. Por ello la prioridad asignada es:
...
También se ha cofnirmado que Debian 13 está afectado. fuente; You can add Debian 13 / Trixie to your list btw · Issue #7 · V4bel/dirtyfrag
Debian
Debian ya dispone de parches que resuelven la vulnerabilidad (a fecha de 9/05/2026)
Fuente; https://security-tracker.debian.org/tracker/CVE-2026-43284
Posibles soluciones y migitaciones
| Advertencia |
|---|
En estos momentos no existe parche para esta vulnerabilidad. Todas las distribuciones Linux con kernel actualizado posteriormente a 2017 están potencialmente afectadas. El parche de la vulnerabilidad anterior (Copy fail) NO protege automáticamente contra esta vulnerabilidad. |
Mitigación e IPSEC
| Nota |
|---|
Esta medida de mitigación afecta a los extremos de túneles IPSEC. |
Antes de aplicar ninguna medida de mitigación, compruebe que el sistema no es un terminador de túneles IPSEC con estos comandos:
| Bloque de código |
|---|
ip xfrm policy list 2>/dev/null | head
ss -tunap | grep -i rxrpc |
Si la salida no está vacía, la mitigación afectará a la funcionalidad de túnel IPSEC.
Mitigación
Esta medida de mitigación deshabilita los módulos que contienen el código vulnerable.
| Bloque de código |
|---|
sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true" |
...
Fuente: Dirty Frag [CVE Pending]: Mitigation and Kernel Update on CloudLinux
https://tuxcare.com/blog/dirty-frag-explained-linux-root-exploit-mitigation-patching-guide
Cómo aplicar el parche o la mitigación en VDI y Polilabs
...