סקירה כללית #

פגיעות חדשה של הסלמת הרשאות מקומיות בליבת לינוקס, המכונה Fragnesia, נחשפה תחת CVE-2026-46300.

פרגנזיה שייכת לאותה קבוצת פגיעות כמו זו שנחשפה לאחרונה: פרג מלוכלך ו נכשל בהעתקה.

הפגיעות משפיעה על תת-המערכת XFRM / ESP-in-TCP של ליבת לינוקס, מה שעלול לאפשר למשתמש מקומי לא-פריבילגי לקבל הרשאות root באמצעות פגיעה מבוקרת במטמון עמודים.

פרטי הפגיעות #

CVE:CVE-2026-46300
שםפרגנזיה
סוּגהסלמת הרשאות מקומיות
רכיב מושפעליבת לינוקס XFRM ESP-in-TCP
תקף וקטור: מקומי
הרשאות נדרשות: נמוך
אינטראקציה של משתמשים: אין
פְּגִיעָההסלמת הרשאות Root

תיאור טכני #

הפגיעות קיימת בטיפול בליבת לינוקס ב ESP-in-TCP ‏(XFRM/IPsec) במהלך תנאי טיפול בחבילות ספציפיים הכוללים: splice(), sendfile(), הפניות ל-page-cache ועיבוד חבילות ESP/XFRM, מכיוון שהליבה עלולה לתפעל באופן שגוי את זיכרון page-cache המשותף, מה שמאפשר שינוי מבוקר של קבצים המאוחסנים במטמון לקריאה בלבד.

חוקרים אף הדגימו את היכולת לדרוס תוכן המאוחסן במטמון של /usr/bin/su כדי לקבל הרשאות root מבלי לשנות את הקובץ שבדיסק עצמו.

קשר לשבר מלוכלך #

פרגנזיה נחשבת לחלק מ מחלקת פגיעות Dirty Frag ומשפיע על אותו משטח רשת של ליבת לינוקס: עיבוד XFRM, ESP ו-IPsec.

למעשה, חוקרים ציינו כי הפגיעות הפכה נגישה לאחר שאחד מתיקוני Dirty Frag חשף נתיב קוד קשור.

RELIANOID הערכת השפעה #

בְּרִירַת מֶחדָל RELIANOID התקנות של מאזן עומסים נחשבות לסיכון נמוך מכיוון ש:

• RELIANOID אינו משתמש בפונקציונליות הפגיעה כברירת מחדל
• מודולי ESP/XFRM אינם נדרשים באופן פעיל עבור פעולות ADC/איזון עומסים סטנדרטיות
• חוות HTTP/HTTPS/TCP/UDP טיפוסיות אינן מושפעות

השפעת מודול VPN/IPsec #

RELIANOID סביבות המשתמשות רשת > VPN or VPN מבוסס IPsec ייתכן שהפונקציונליות תטען מודולי ליבת לינוקס מושפעים באופן דינמי. מודולים שעשויים להיות מושפעים כוללים: esp4, esp6, xfrm_user ו-xfrm_algo.

לכן, הסיכון לכל RELIANOID התכונה היא כדלקמן:

איזון עומסים סטנדרטי: נמוך
חוות HTTP/HTTPS נמוך
חוות L4: נמוך
GSLB: נמוך
IPDS: נמוך
מודול VPN של IPsec: מושפע באופן פוטנציאלי

כיצד לאמת מודולים מושפעים #

בדוק האם מודולים פגיעים טעונים:

lsmod | פקודה עקיפה 'esp4|esp6|xfrm'

דוגמה לפלט פגיע:

esp4 esp6 xfrm_user

אם לא מוצגים מודולים, אזי הפונקציונליות הפגיעה אינה פעילה כעת.

אימות שימוש פעיל ב-IPsec #

ניתן גם לבדוק מדיניות IPsec/XFRM פעילות:

מצב xfrm של כתובת IP מדיניות xfrm

אם ריק, סביר להניח ש-IPsec אינו בשימוש.

הקלה זמנית #

אם פונקציונליות IPsec VPN אינה נדרשת, ניתן להשבית את המודולים המושפעים.

לִיצוֹר:

/etc/modprobe.d/fragnesia.conf

עם:

התקן את esp4 /bin/false התקן את esp6 /bin/false התקן את rxrpc /bin/false

לפרוק מודולים ולנקות את המטמון אם הוא כבר פעיל:

modprobe -r esp4 esp6 xfrm_user xfrm_algo sync; echo 3 > /proc/sys/vm/drop_caches

אמצעי הקלה זהים לאותו אמצעי המומלץ באופן רשמי עבור Dirty Frag.

אזהרה חשובהאין להחיל הקלה זו אם RELIANOID משתמש באופן פעיל במנהרות IPsec VPN, תעבורת ESP או שירותים מבוססי XFRM. אחרת שירותי VPN עלולים להפסיק לתפקד.

RELIANOID המלצה #

RELIANOID מומלץ ללקוחות:

• ודא האם מודולי IPsec/XFRM פעילים
• החל עדכונים ככל שהם יהיו זמינים
• השבת מודולי ESP/XFRM שאינם בשימוש במידת האפשר
• בדיקת תוכנות צד שלישי המותקנות על המכשיר

תיקונים לתיקון פגיעות זו יסופקו בגרסאות EE > 8.5