DirtyClone, la quarta variante nella famiglia DirtyFrag

JFrog Security Research ha pubblicato il 25 giugno 2026 un working exploit walkthrough per DirtyClone (CVE-2026-43503), una nuova escalation di privilegi nel kernel Linux. La vulnerabilità sfrutta la perdita del flag SKBFL_SHARED_FRAG durante il cloning dei pacchetti di rete. È la quarta LPE recente con lo stesso modo di fallimento, e la prima ad avere una dimostrazione pubblica completa.

La patch è stata integrata nel mainline il 21 maggio 2026 con il commit 48f6a5356a33. CVE-2026-43503 è stata assegnata il 23 maggio, con inclusione in Linux v7.1-rc5 il 24 maggio.

Come funziona il bit mancante

Il kernel Linux utilizza il zero-copy networking per allegare direttamente pagine di memoria file-backed ai pacchetti di rete. Il flag SKBFL_SHARED_FRAG marca quei frammenti come condivisi con file su disco, impedendo operazioni di scrittura in-place.

Quando helper come __pskb_copy_fclone() e skb_shift() trasferiscono frammenti senza propagare questo flag, il pacchetto clonato perde la protezione. L'attaccante carica un binario privilegiato come /usr/bin/su in memoria, collega quelle pagine a un pacchetto di rete e forza il kernel a clonarlo.

Il pacchetto clonato transita attraverso un tunnel IPsec controllato dall'attaccante. La decrittazione ESP sovrascrive in-place i controlli di login del binario. Il file su disco non cambia mai. La modifica esiste solo nella copia in memoria del kernel.

"The file on disk never changes. The modification lives only in the kernel's in-memory copy, so file-integrity tools miss it, the attack leaves no audit trail, and a reboot restores the original binary" — The Hacker News

Perché la detection tradizionale fallisce

L'assenza di tracce persistenti su disco rende DirtyClone insidiosa per le infrastrutture che si affidano a integrità file o log di audit tradizionali. La corruzione avviene interamente nella page cache.

La cache delle pagine è condivisa a livello host. Le modifiche all'interno di un namespace influenzano ogni processo sulla macchina. JFrog ha confermato l'exploit su sistemi Debian, Ubuntu e Fedora con configurazioni namespace predefinite.

Su Ubuntu 24.04 e successivi, AppArmor limita la creazione di namespace utente non privilegiati, bloccando il percorso di exploit predefinito. Debian e Fedora abilitano questi namespace di default, permettendo di ottenere CAP_NET_ADMIN.

Una classe di vulnerabilità con varianti ricorrenti

DirtyClone è la quarta LPE recente con lo stesso modo di fallimento fondamentale. Copy Fail (CVE-2026-31431, fine aprile) ha inaugurato la serie. DirtyFrag (CVE-2026-43284 e CVE-2026-43500, 7 maggio) ha ricevuto il commit upstream f4c50a4034e6. Fragnesia (CVE-2026-46300, 13 maggio) ha seguito. DirtyClone (CVE-2026-43503) completa il quadro con il primo exploit pubblico.

CVE-2026-43284 ha CVSS 8.8 confermato dalla CNA kernel.org, con vector CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Il record NVD indica che questa CVE interessa kernel Linux dalla versione 4.11 fino a 7.0.5 (escluso). Per CVE-2026-43503, i dettagli sulle versioni kernel specifiche affette non sono disponibili da record separati.

La fix per CVE-2026-43284 marca i frammenti splice IPv4/IPv6 con SKBFL_SHARED_FRAG e introduce fallback su skb_cow_data() nell'input ESP. Il commit 48f6a5356a33 per DirtyClone copre __pskb_copy_fclone() e skb_shift().

Secondo la fonte primaria, "the underlying problem is not one bad helper function. It is a contract problem: every code path that moves skb fragments has to preserve the shared-frag bit, every time".

Cosa fare adesso

Le organizzazioni devono aggiornare il kernel alla versione 7.1-rc5 o successiva, o applicare i backport stable/LTS che includono il commit 48f6a5356a33 per CVE-2026-43503.

Per i kernel precedenti alla 7.1, è necessario verificare che le patch per CVE-2026-43284 (commit f4c50a4034e6) siano presenti, poiché quella vulnerabilità condivide il meccanismo base di corruzione.

Su Debian e Fedora, dove i namespace utente non privilegiati sono abilitati di default, gli amministratori devono valutare se limitare questa capacità fino all'applicazione delle patch. Su Ubuntu 24.04 e versioni successive, AppArmor blocca già il percorso di exploit predefinito.

I team di sicurezza devono considerare che gli strumenti di integrità file tradizionali non rilevano questa classe di attacchi, poiché la corruzione è confinata nella page cache in memoria.

Superficie di attacco e sistemi esposti

JFrog ha identificato come particolarmente esposti i server multi-tenant, i CI runner, gli host container e i cluster Kubernetes dove utenti non attendibili possono creare namespace. In questi ambienti, la condivisione della page cache a livello host amplifica l'impatto della vulnerabilità.

La capacità di ottenere CAP_NET_ADMIN attraverso namespace utente non privilegiati rappresenta il prerequisito chiave per l'exploit. Su configurazioni dove questa capacità è già limitata, il percorso di attacco è bloccato indipendentemente dalla presenza della patch.

Non è confermato se esista exploitation in-the-wild al di fuori del PoC dimostrativo di JFrog. La pubblicazione del working exploit walkthrough il 25 giugno 2026 aumenta tuttavia la probabilità di riproduzione da parte di attori malintenzionati.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/06/new-dirtyclone-linux-kernel-flaw-lets.html
• https://almalinux.org/blog/2026-05-07-dirty-frag/
• https://nvd.nist.gov/vuln/detail/CVE-2026-43284
• https://safecomputing.umich.edu/security-alerts/updated-linux-kernel-vulnerability-%E2%80%9Cdirty-frag%E2%80%9D-and-variants
• https://www.kodemsecurity.com/resources/cve-2026-31431-copy-fail-linux-kernel-lpe-breakdown-and-remediation-runbook
• https://lists.almalinux.org/mailman3/lists/security.lists.almalinux.org/
• https://www.kodemsecurity.com/solution/defend-your-application
• https://www.kodemsecurity.com/technology/kodem-core