Dirty Frag hat Copy‑Fail überholt: die zweite kritische Schwachstelle von Linux ist ein Monat lang immer noch nicht behoben

Kritische Schwachstelle Dirty Frag: Was Sie wissen sollten

Wie funktioniert sie? Wie gefährlich ist sie? Jeder lokale Benutzer kann Root-Rechte auf den meisten beliebten Linux-Distributionen erhalten, die seit 2017 veröffentlicht wurden (Ubuntu, Arch, RHEL, Fedora und sogar WSL 2 in Windows 11).

Status der Patches
Zum Zeitpunkt der Veröffentlichung gibt es keine Patches – weder in einzelnen Distributionen noch im Hauptkern.

Wie zeigt sie sich?
Der Angriff ist unabhängig von der Systemkonfiguration und erfordert keinen genauen Startzeitpunkt. Durch das Ausführen eines kleinen Programms erhält der Benutzer Administratorrechte.

Betroffene Plattformen – Ubuntu 24/26

- Arch Linux (neueste Version)

- RHEL, CentOS Stream

- Fedora, AlmaLinux, OpenSUSE und andere Builds

Wie man sich schützt
Die Schwachstelle ist mit drei Kernelmodulen verbunden, die für die IPSec-Verschlüsselung verantwortlich sind:

1. esp4 – IPv4‑ESP
2. esp6 – IPv6‑ESP
3. rxrpc – RPC-Protokoll über IPsec

Diese Komponenten werden nur in Unternehmens‑VPN-Netzwerken benötigt. Durch Deaktivieren kann die Schwachstelle schnell geschlossen werden, ohne dass normale Arbeitsstationen und Server merklich betroffen sind.

Entwicklungsverlauf – Am 30. April erhielt das Linux-Kernel-Team Informationen über das Problem.

- Eine Drittpartei hat die Vereinbarung verletzt und Details vorzeitig veröffentlicht, was laut Tom’s Hardware zu einer aktiven Nutzung der Schwachstelle durch Angreifer führte.

Funktionsweise des Angriffs
Dirty Frag, ähnlich wie Copy Fail, nutzt den Zero‑Copy-Mechanismus im Kernel.

1. Der Angreifer platziert einen Seitencache-Datenbankzeiger in den Systemaufruf splice.
2. Dadurch können Daten in Dateien geschrieben werden, für die ein normaler Benutzer keine Schreibrechte hat.
3. Durch diese Schreibvorgänge erhält der Benutzer Root-Rechte.

Der Schwachstellen-Code befindet sich in den IPSec‑Verschlüsselungsmodulen. Der erste Fehler – *xfrm-ESP Page Cache Write* – tauchte im Commit `cac2661c53f3` (2017) auf.

AppArmor in Ubuntu blockiert diesen ersten Durchbruch, daher nutzt das Demo‑PoC zusätzlich die zweite – *RxRPC Page‑Cache Write* aus dem Commit `2dc334f1a63a`.

Fazit: Dirty Frag stellt eine ernsthafte Bedrohung für die meisten modernen Linux-Distributionen dar. Bis offizielle Patches verfügbar sind, empfiehlt es sich, die Module esp4/esp6/rxrpc zu deaktivieren oder auf eine Kernel-Version zu aktualisieren, in der die Schwachstelle bereits behoben ist.