[related]chez AlmaLinux

[decio@infosec.exchange]

🤪
et c'est reparti pour un tour : #fragnesia le petit frère de DirtyFrag (même famille ESP/XFRM, même mitigation rmmod esp4 esp6 rxrpc, même page cache qui se fait défoncer, just trust me bro).

Bonne nouvelle : si t'avais blocklisté les modules « au cas où », t'es OK.

Mauvaise nouvelle : si t'as "juste" patché DirtyFrag , il te faut le patch Fragnesia aussi.

"Fragnesia is a universal Linux local privilege escalation exploit, discovered by William Bowling with the V12 team. Fragnesia is a member of the Dirty Frag vulnerability class. "

https://github.com/v12-security/pocs/tree/main/fragnesia

#CyberVeille #linux

[decio@infosec.exchange]

#Fragnesia #Linux #Kernel
"All versions affected by dirtyfrag are affected."
"Any versions without this patch: https://lists.openwall.net/netdev/2026/05/13/79 , so any Linux kernel before May 13 2026."

[bortzmeyer@mastodon.gougere.fr]

@decio I was not successful with the POC, even with modules allowed.

[decio@infosec.exchange]

[related]

"Fragnesia: Linux Kernel Local Privilege Escalation via ESP-in-TCP"

https://www.wiz.io/blog/fragnesia-linux-kernel-local-privilege-escalation-via-esp-in-tcp

#Fragnesia #linux

[decio@infosec.exchange]

@bortzmeyer Intéressant, tu peux me dire sur quelle distro/version ?
Je n'ai pas encore eu le temps de le tester sur mes conteneurs & Debian/Kali, mais d'après le README pour Ubuntu: AppArmor restricts unprivileged user namespaces by default.

[bortzmeyer@mastodon.gougere.fr]

@decio Debian 13 (stable) à jour.

[bortzmeyer@mastodon.gougere.fr]

@decio J'ai essayé avec et sans l'autorisation de création des namespaces, pareil.

[bortzmeyer@mastodon.gougere.fr]

@decio C'est pas que chez moi (même message d'erreur) https://x.com/idratherwork/status/2054500111917470017

[decio@infosec.exchange]

@bortzmeyer yep !
XFRM_MSG_NEWSA ack errno=22

Donc Debian rejette la configuration XFRM spécifique

[bortzmeyer@mastodon.gougere.fr]

@decio Reste à savoir si le POC peut être modifié pour fonctionner sur Debian, ou bien si c'est une limite plus fondamentale de Fragnesia (qui ne serait pas si universel que ça).

[decio@infosec.exchange]

@bortzmeyer sur ma kali same same !

└─$ grep ESPINTCP /boot/config-$(uname -r)

CONFIG_INET_ESPINTCP is not set

CONFIG_INET6_ESPINTCP is not set

(6.8.11-amd64 #1 SMP PREEMPT_DYNAMIC Kali 6.8.11-1kali2 (2024-05-30))

c'est explicitement désactivé dans le kernel Kali (et vraisemblablement tout le kernel Debian).

GG Debian

Cela semble donc Ubuntu-centrique...

[bortzmeyer@mastodon.gougere.fr]

@decio https://www.bortzmeyer.org/fragnesia.html

[decio@infosec.exchange]

@bortzmeyer Effectivement sur Ubuntu 24.04 kernel 6.8 non patché + AppArmor désactivé =

192/192 bytes whoami → root

Exploit confirmé.

AppArmor tient la barrière, ne le désactivez pas

#fragnesia #linux #lpe

[decio@infosec.exchange]

et voilà il a reçu son nom de code CVE-2026-46300