Dirty Frag: LPE post-compromissione con attacchi attivi confermati su Linux

Microsoft ha rilevato attacchi attivi che sfruttano Dirty Frag, una vulnerabilità di escalation dei privilegi locali nel kernel Linux. La campagna, documentata l'8 maggio 2026, conferma il passaggio di questa falla dalla teoria alla post-compromissione operativa: non è una porta d'ingresso, ma un meccanismo che consolida ogni intrusione già avvenuta.

Come funziona l'exploit: la page cache come superficie d'attacco

Il nucleo tecnico di Dirty Frag risiede nella manipolazione della page cache attraverso il campo fragment della struttura sk_buff (socket buffer). Quando un buffer contiene paged fragments non privatamente posseduti dal kernel — tipicamente pagine esterne generate da splice(), sendfile() o MSG_SPLICE_PAGES — i percorsi di ricezione e decrittazione in-place dei sottosistemi xfrm/ESP (IPsec) e rxrpc scrivono direttamente su quelle pagine.

Un processo non privilegiato può referenziare tali pagine. Ciò consente scritture controllate nella page cache di file leggibili, senza alterarne il contenuto su disco. Il risultato è un bypass delle verifiche di integrità basate su filesystem.

Il ricercatore Hyunwoo Kim (@v4bel), autore del proof-of-concept, ha classificato Dirty Frag come estensione della stessa classe di bug di Dirty Pipe e CopyFail. A differenza di questi ultimi, Dirty Frag non dipende da finestre temporali strette. Secondo Kim: "no race condition is required, the kernel does not panic when the exploit fails, and the success rate is very high".

La catena ESP-RxRPC: due percorsi per coprire ogni ambiente

La caratteristica distintiva di Dirty Frag è la dualità dei vettori. CVE-2026-43284 colpisce il percorso esp4/esp6 attraverso xfrm/ESP, tipicamente accessibile dove la creazione di namespace utente è permessa. CVE-2026-43500 colpisce invece rxrpc, un sottosistema compilato su configurazioni come Ubuntu con AppArmor, dove i namespace utente sono bloccati.

Questa architettura consente all'attaccante di adattare la catena al profilo della vittima. Come ha spiegato Kim: "Chaining the two variants makes the blind spots cover each other. In an environment where user namespace creation is allowed, the ESP exploit runs first. Conversely, on Ubuntu, where user namespace creation is blocked but rxrpc.ko is built, the RxRPC exploit works".

Microsoft ha rilevato una variante denominata Fragnesia (CVE-2026-46300), che sfrutta esclusivamente il percorso esp/xfrm. Le firme antimalware Trojan:Linux/DirtyFrag.Z!MTB e Trojan:Linux/DirtyFrag.DA!MTB coprono anche questa variante.

La campagna in-the-wild: dal foothold al controllo totale

Microsoft ha documentato una timeline sequenziale che illustra come Dirty Frag consolidi un accesso iniziale marginale. Il pattern osservato è: connessione esterna via SSH, spawn di shell interattiva, staging ed esecuzione di un binario ELF denominato ./update, escalation immediata via su.

La campagna ha incluso modifiche ai file LDAP di GLPI (sistema di gestione IT open source), attività di ricognizione sistematica, e manipolazione o cancellazione di file di sessione PHP. Questi indicatori suggeriscono un attore orientato alla persistenza e alla copertura delle tracce.

Microsoft ha caratterizzato l'attività come "limited in-the-wild": la scala geografica e settoriale non è specificata, né l'identità del threat actor. Il dossier non chiarisce se la campagna sia iniziata prima o dopo la public disclosure del 7 maggio 2026.

"Dirty Frag is notable because it introduces multiple kernel attack paths involving rxrpc and esp/xfrm networking components to improve exploitation reliability. Rather than relying on narrow timing windows or unstable corruption conditions often associated with Linux local privilege escalation exploits, Dirty Frag appears designed to increase consistency across vulnerable environments."
— Microsoft Security Blog

Analisi: il rischio cloud secondo analisti indipendenti

L'impatto di Dirty Frag si amplifica negli ambienti cloud e containerizzati, dove il kernel è condiviso tra host e workload isolati. Secondo analisti indipendenti di Field Effect, un container compromesso potrebbe ottenere controllo dell'host sottostante attraverso questa escalation locale.

Le distribuzioni confermate come affette includono Ubuntu, RHEL, CentOS Stream, AlmaLinux, Fedora, openSUSE e OpenShift. La presenza di rxrpc.ko varia: non è incluso in RHEL 10.1 di default, ma è presente in Ubuntu.

Cosa fare adesso

Il report Microsoft del 14 maggio 2026 è in corso di investigazione. Il dossier non documenta lo stato di avanzamento delle patch per CVE-2026-43500 successivamente a quella data.

Esiste una discrepanza tra fonti sullo stato di patching di CVE-2026-43500: Microsoft indica patch non disponibili al 8 maggio 2026, mentre il ricercatore Hyunwoo Kim riferisce commit patch in mainline kernel. La risoluzione definitiva dipende dalla distribuzione vendor-specific.

Le firme antimalware Microsoft coprono la variante Fragnesia. Gli amministratori dovrebbero monitorare gli indicatori di compromissione documentati: esecuzione di ELF ./update seguita da su escalation, modifiche ai file LDAP di GLPI, e cancellazione di file di sessione PHP.

Limiti delle fonti e contesto

Questa analisi si basa su multiple fonti primarie convergenti, con cautele su punti non ancora chiariti. Microsoft non specifica se l'exploit richieda CAP_NET_ADMIN in condizioni operative; Wiz aveva menzionato questo requisito come "significant hurdle" in scenari specifici, ma il brief non conferma questa condizione come universale.

La fonte CERT/CC VU#260001 è esclusa da questa analisi: tratta la vulnerabilità CopyFail (CVE-2026-31431), non Dirty Frag.

Non è nota l'entità esatta del threat actor, la scala geografica o settoriale specifica, né la data effettiva di inizio della campagna ITW rispetto alla public disclosure.