Основы Интернет - технологий.

Исследователи из компании JFrog обнаружили уязвимость DirtyClone в ядре Linux и уже опубликовали PoC-эксплоит для нее. Баг позволяет локальному пользователю изменить содержимое страничного кеша через клонированный сетевой пакет, в итоге повысив свои привилегии до уровня root. Проблема получила идентификатор CVE-2026-43503 (8,8 балла по шкале CVSS). Исправление для нее приняли в основную ветку ядра 21 мая 2026 года, а 24 мая оно вошло в состав Linux 7.1-rc5. Патч также бэкпортировали в стабильные и LTS-ветки. По словам исследователей, DirtyClone относится к семейству уязвимостей DirtyFrag и затрагивает механизм zero-copy networking: сетевой буфер ссылается непосредственно на страничный кеш, поэтому ядру не нужно создавать отдельную копию данных. При клонировании пакета функции __pskb_copy_fclone() и skb_shift() могут потерять служебный флаг, который указывает на то, что фрагменты пакета по-прежнему ссылаются на страницы файлового кеша. После потери флага ядро перестает учитывать, что фрагменты пакета ссылаются на страничный кеш, и разрешает сетевому стеку изменять эти страницы. В своем PoC-эксплоите исследователи используют привилегированный бинарник /usr/bin/su. Его содержимое сначала загружается в страничный кеш, после чего атакующий формирует сетевой пакет, фрагменты которого ссылаются на те же страницы кеша. Затем злоумышленник заставляет ядро клонировать пакет и провести его через локальный IPsec-туннель. Во время дешифрования ядро записывает подготовленные атакующим байты непосредственно в страницы кеша, изменяя инструкции, отвечающие за проверку аутентификации в su. В результате последующий запуск бинарника предоставляет злоумышленнику root-доступ. При этом сам файл на диске не меняется, модификации подвергается только его копия в страничном кеше. Поэтому инструменты, которые проверяют целостность файлов на диске, не замечают подмену. После перезагрузки измененные страницы кеша сбрасываются, а при следующем обращении система снова загружает исходное содержимое файла с диска, однако к этому моменту атакующий уже успевает получить полный контроль над системой. Также отмечается, что для эксплуатации уязвимости атакующему необходимо получить CAP_NET_ADMIN — право на выполнение административных операций с сетью, в том числе на настройку локального IPsec-туннеля. В Debian и Fedora непривилегированные user namespace обычно включены по умолчанию, поэтому обычный локальный пользователь может получить нужную привилегию внутри нового namespace. В Ubuntu 24.04 и более новых версиях создание таких пространств имен ограничено через AppArmor, что блокирует стандартный вариант эксплуатации DirtyClone. При этом подчеркивается, страничный кеш остается общим для всего хоста, поэтому запись в его страницы из namespace или контейнера затрагивает все процессы в системе. Из-за этого DirtyClone представляет особую опасность для мультитенантных серверов, CI-раннеров, контейнерных хостов и кластеров Kubernetes, где недоверенные пользователи могут создавать собственные пространства имен. Напомним, что проблема DirtyClone стала уже четвертой уязвимостью такого рода, обнаруженной ИБ-специалистами за последние месяцы. Ранее исследователи предупреждали об уязвимостях Copy Fail (CVE-2026-31431), уже упомянутой DirtyFrag (CVE-2026-43284 и CVE-2026-43500) и Fragnesia (CVE-2026-46300). Теперь пользователям рекомендуется как можно скорее установить последнее обновление ядра для своего дистрибутива. В качестве временной защитной меры также можно запретить непривилегированные пользовательские пространства имен или заблокировать модули esp4, esp6 и rxrpc. Блокировка этих модулей отключит IPsec и AFS и сработает лишь в том случае, если соответствующая поддержка не встроена в ядро, а реализована в виде загружаемых модулей.