פגיעויות בליבת לינוקס CVE-2026-43284 ו-CVE-2026-43500 (Dirty Frag)

סקירה כללית #

מאמר זה מספק פרטים טכניים נוספים בנוגע לפגיעויות בליבת לינוקס:

CVE-2026-43284
CVE-2026-43500

פגיעויות אלו מכונות יחד כ פרג מלוכלך ולהשפיע על נתיבי טיפול בחבילות ספציפיים של ליבת לינוקס הקשורים ל:

XFRM/IPsec
ESP (מטען אבטחה עוטף)
מקטעי מאגר שקעים משותפים (skb frags)
טיפול בחיבור חבילות UDP

הפניות רשמיות:

NVD – CVE-2026-43284
NVD – CVE-2026-43500

רקע טכני #

CVE-2026-43284 #

על פי מתחזקי ליבת לינוקס, הפגיעות נובעת מטיפול לא נכון ב:

קטעי skb משותפים
טיפול בדפי חיבור UDP
פעולות פענוח במקום של ESP

הבעיה מתרחשת בגלל:

MSG_SPLICE_PAGES עשוי לצרף דפים בבעלות חיצונית ישירות למאגרי חבילות

נתיבי UDP לא הצליחו לסמן את הקטעים הללו כמשותפים באמצעות: SKBFL_SHARED_FRAG

כתוצאה מכך:

עיבוד ESP מניח באופן שגוי שנתוני חבילות הם בבעלות פרטית
פענוח ESP עשוי להתרחש ישירות מעל זיכרון משותף
פגיעה בזיכרון או שינוי נתונים לא מכוון עלולים להיות אפשריים

תיקון הליבה במעלה הזרם מציג:

מעקב תקין אחר בעלות על פרגמנטים
הגנות נוספות מפני העתקה בעת כתיבה
התנהגות גיבוי בטוחה יותר באמצעות: skb_cow_data()

CVE-2026-43500 #

בזמן כתיבת שורות אלה:

CVE-2026-43500 נשאר במצב שמור
פרטים טכניים לציבור עדיין מוגבלים

עם זאת, הוא משויך לאותה משפחת פגיעויות של Dirty Frag ולאותה תת-מערכת רשת של הליבה.

RELIANOID ניתוח חשיפה #

תֶקֶן RELIANOID פריסות #

RELIANOID עצמו לא משתמש ב:

עיבוד עמודי חיבור UDP מותאמים אישית
מניפולציה של חבילות ESP גולמיות
אינטראקציות ישירות עם ליבת XFRM

לכן, סטנדרטי RELIANOID פריסות אינן חשופות בתנאי הפעלה רגילים.

VPN מוגדר RELIANOID פריסות #

RELIANOID פריסות שבהן פונקציונליות ה-VPN (רשת > VPN) או הגדרות VPN מותאמות אישית מופעלות עשויות להשתמש בפונקציונליות IPsec/XFRM של לינוקס בהתאם לתצורת ה-VPN.

זה אומר:

ניתן לטעון מודולי ליבה הקשורים ל-IPsec כאשר תכונות VPN/IPsec מופעלות
מודולי ESP/XFRM עשויים להפוך לפעילים
נתיבי הליבה המושפעים עשויים תיאורטית להיות נגישים

מודולים טעונים פוטנציאלית #

כאשר פונקציונליות VPN/IPsec מוגדרת, המודולים הבאים עשויים להופיע:

esp4
esp6
xfrm_user
xfrm_algo
xfrm4_mode_transport
xfrm4_mode_tunnel
xfrm6_mode_transport
xfrm6_mode_tunnel

הערכת סיכונים עבור RELIANOID משתמשי VPN #

כַּיוֹם:

לא ידוע על ניצול פעיל נגד RELIANOID פריסות VPN זוהו
תנאי הניצול נראים ספציפיים מאוד
הפגיעות דורשת תנאי טיפול מורכבים בחבילות הכוללים קטעי skb משותפים.

עם זאת, מערכות המשתמשות באופן פעיל בפונקציונליות IPsec VPN צריכות להיחשב כמערכות חשופות פוטנציאליות עד להחלת גרעינים מתוקנים.

כיצד לקבוע אם RELIANOID VPN משתמש ב-IPsec #

בדוק מודולים טעונים:

lsmod | פקודה חסומה 'esp|xfrm'

בדיקת מצבי IPsec פעילים #

מצב xfrm של כתובת IP

בדיקת מדיניות IPsec פעילות #

מדיניות IP XFRM

אם קיימות מנהרות VPN פעילות, עשוי להופיע פלט דומה להודעה הבאה:

src 10.0.0.1 dst 10.0.1.1 proto esp spi 0x00000001

המלצות להפחתת נזקים #

מערכות שאינן משתמשות ב-VPN/IPsec #

אם פונקציונליות VPN אינה נדרשת:

פריקת מודולים וניקוי מטמונים

modprobe -r esp4 esp6 xfrm_user xfrm_algo sync; echo 3 > /proc/sys/vm/drop_caches

מודולים של רשימה שחורה

לִיצוֹר:

/etc/modprobe.d/disable-xfrm.conf

תוכן:

רשימה שחורה esp4 רשימה שחורה esp6 רשימה שחורה xfrm_user רשימה שחורה xfrm_algo רשימה שחורה xfrm4_mode_transport רשימה שחורה xfrm4_mode_tunnel רשימה שחורה xfrm6_mode_transport רשימה שחורה xfrm6_mode_tunnel

מערכות המשתמשות RELIANOID VPN/IPsec #

אם מודול ה-VPN נמצא בשימוש פעיל:

פעולות מומלצות

החל עדכוני ליבה של הספק באופן מיידי כאשר הם זמינים
הגבל את החשיפה ל-VPN לעמיתים מהימנים בלבד
הגבל תוכנות צד שלישי מיותרות
צג RELIANOID ייעוץ אבטחה
ניטור התנהגות חריגה של הליבה/רשת

תיקונים לתיקון פגיעות זו יסופקו בגרסאות EE > 8.5

המלצות נוספות להתקשות #

הגבל מקורות חבילות לא מהימנים #

השתמש בכללי חומת אש כדי להגביל:

חשיפה ל-ESP ציבורית
תעבורת אנקפסולציה של UDP לא מהימנה
עמיתים חיצוניים ל-VPN

מזעור אינטראקציה עם ליבה של צד שלישי #

לְהִמָנַע:

מסגרות התאמה אישית של מניפולציה של חבילות
תוכנת רשת לא אמינה
מודולי ליבה ניסיוניים

אימות לאחר הפחתה #

ודא שהמודולים המושפעים אינם טעונים:

lsmod | פקודה חסומה 'esp|xfrm'

תוצאה צפויה:

(אין פלט)

<br> סיכום #

פגיעויות Dirty Frag CVE-2026-43284 ו CVE-2026-43500 משפיעים על עיבוד ESP/XFRM של ליבת לינוקס הקשור לרשת IPsec.

הבהרה מרכזית

תֶקֶן RELIANOID פונקציונליות איזון העומסים אינה מושפעת
עם זאת, RELIANOID ייתכן שמודול VPN/IPsec יטען את מודולי הליבה המושפעים
מערכות המשתמשות ב: רשת > VPN או הגדרות VPN מותאמות אישית צריכות להעריך את החשיפה ולהחיל אמצעי הפחתה בהתאם.

RELIANOID ממליץ:

השבתת פונקציונליות IPsec שאינה בשימוש
החלת עדכוני ליבה של ספק
הגבלת חשיפה של שירותי VPN
ניטור הנחיות אבטחה רשמיות של הליבה