Linux Kernel Fragnesia 本地权限提升漏洞安全告警

UCloud-202605-003:Linux Kernel Fragnesia 本地权限提升漏洞安全告警

发布时间 2026-05-13
更新时间 2026-05-13
漏洞等级 High
CVE编号 CVE-2026-46300

漏洞详情

Linux 内核是一款开源的类 UNIX 操作系统内核，作为 Linux 系统的核心组件，负责管理系统硬件资源、进程调度、内存管理、文件系统与网络通信等核心功能，为各类应用程序提供底层支撑与系统调用接口。其广泛应用于服务器、桌面终端、移动设备、嵌入式系统与云计算环境，是全球主流 IT 基础设施的核心运行载体。

2026 年 5 月，UCloud 安全中心监测并确认 Linux Kernel 存在一处本地权限提升漏洞 Fragnesia（CVE-2026-46300）。

经分析，漏洞源于 Linux 内核在合并 socket 缓冲区（sk_buff）时，未能正确传播共享分片（shared fragment）标记，导致只读文件页缓存可被误当作 ESP 密文进行原地解密。攻击者可通过组合使用 splice() 与 espintcp ULP，在不写入磁盘的前提下对任意可读文件的页缓存（如 /usr/bin/su）进行逐字节篡改，进而通过执行被改写的 setuid 程序，由普通用户提权至 root。

Fragnesia 是 Dirty Frag 漏洞家族的独立新变种，源自上游修复 Dirty Frag（参见 UCloud-202605-001）时引入的新缺陷，与原 Dirty Frag 属于不同的代码路径与触发条件，需要单独修复。

需要注意的是，Ubuntu 默认的 AppArmor 配置会限制非特权 user namespace 的使用，对当前公开 PoC 的利用形成一定缓解，但该缓解并不消除漏洞本身，攻击者仍可在禁用或绕过 AppArmor 的环境中实现完整利用。

目前该漏洞的 PoC 与技术细节已公开，利用门槛较低，影响范围广泛，建议客户尽快开展自查与修复。

影响范围

cef401de7be8 到本次修复之间的所有相关内核版本

具体受影响内核版本以各发行版安全公告为准。

修复方案

建议将系统内核升级至 2026 年 5 月 13 日或之后发布、已包含 Fragnesia 修复补丁的版本。请密切关注上游内核及各发行版（Ubuntu、RHEL、SUSE、Fedora 等）安全公告，第一时间升级至最新安全版本。完成内核升级后，请重启系统以确保补丁生效。

临时缓解措施

在官方补丁尚未应用前，建议采取以下临时防护措施以降低被利用风险：

- 在业务允许的前提下，禁用并卸载 Fragnesia 与 Dirty Frag 涉及的内核模块（esp4、esp6、rxrpc），可执行如下命令：sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/fragnesia.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

- 保持 AppArmor / SELinux 启用，并限制非特权 user namespace（如 kernel.unprivileged_userns_clone=0）以削弱公开 PoC 的可利用性

- 审计并尽可能收敛系统中的 setuid 可执行文件，移除不必要的 setuid 位

- 严格限制本地可登录用户范围，避免低权限用户登录关键主机

- 通过 seccomp 等机制，限制非必要进程对 splice() 等零拷贝系统调用的使用

- 加强主机层异常行为监控（异常 splice() / sendfile() 调用、setuid 程序被修改、关键二进制 hash 变化等），及时发现可疑利用行为

参考链接

- https://lists.openwall.net/netdev/2026/05/13/79

- https://www.wiz.io/blog/fragnesia-linux-kernel-local-privilege-escalation-via-esp-in-tcp

漏洞详情

影响范围

修复方案

临时缓解措施

参考链接

UCloud与云服务

快速入口

常见问题

用户俱乐部