Fragnesia es un exploit universal de escalada de privilegios local en Linux. Aunque pertenece a la familia de vulnerabilidades Dirty Frag y se mitiga de la misma manera, se trata de un error independiente en ESP/XFRM que cuenta con su propio parche. El ataque aprovecha un fallo lógico en el subsistema XFRM ESP-in-TCP para lograr la escritura arbitraria de bytes en la caché de páginas (page cache) del Kernel sobre archivos de solo lectura, todo ello sin necesitar condiciones de carrera (race conditions).
Esta técnica funciona cambiando un socket TCP al modo espintcp una vez que los datos de un archivo ya se han volcado en la cola de recepción. Esto engaña al Kernel para que procese esas páginas como texto cifrado y, mediante la manipulación técnica del vector de inicialización, permite al atacante sobrescribir un archivo byte a byte.
Todas las versiones afectadas por Dirty Frag están afectadas.
lsmod | grep -E '^(esp4|esp6|rxrpc|ipcomp4|ipcomp6) '
si existen
for mod in esp4 esp6 rxrpc ipcomp4 ipcomp6; do
modinfo "$mod" &>/dev/null && echo "$mod: PRESENTE en disco" || echo "$mod: AUSENTE"
done
sysctl -n user.max_user_namespaces
0: vulnerable, pero dificil
1: explotable muy explotable
grep -rnE 'install\s+(esp4|esp6|rxrpc|ipcomp4|ipcomp6)\s+/bin/false' /etc/modprobe.d/ 2>/dev/nul
La estrategia de mitigación es equivalente a la de Dirty Frag: evaluar la desactivación de los módulos del Kernel esp4, esp6 y rxrpc.
Si no se aplico mitigación a DIRTYFLAG
rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf
