Nova resna Linux ranljivost, ki omogoča pridobitev ROOT dostopa

V začetku maja 2026 je bila javno razkrita nova resna ranljivost Linux jedra z imenom Dirty Frag (CVE-2026-43284 in CVE-2026-43500). Gre za nevarno lokalno eskalacijo privilegijev, ki lahko običajnemu uporabniku omogoči popoln ROOT dostop do sistema. Posebej problematično je, da je bil javno objavljen tudi delujoč exploit še preden so bili za vse distribucije pripravljeni popravki.

Kaj sploh je Dirty Frag?

Dirty Frag je naslednik nedavno odkrite ranljivosti “Copy Fail”, o kateri se je v Linux svetu veliko govorilo že pred nekaj dnevi. Tokrat gre ponovno za napako v Linux jedru, ki omogoča manipulacijo “page cache” pomnilnika in posledično pridobitev administratorskih pravic.

Ranljivost izkorišča težavo v:

• IPsec ESP modulih (esp4, esp6)
• RxRPC podsistemu (rxrpc)

Napadalec z lokalnim dostopom do sistema lahko z zlonamernim programom spremeni vsebino datotek v pomnilniku in tako zelo hitro pridobi ROOT dostop. Posebej nevarno je, da:

• exploit ne potrebuje “race condition” napada,
• uspešnost napada je zelo visoka,
• sistem se pri neuspelem poskusu običajno ne sesuje,
• javni PoC exploit je že dostopen.

Katere distribucije so prizadete?

Po trenutno znanih informacijah so prizadete skoraj vse večje Linux distribucije, med drugim:

• AlmaLinux
• CloudLinux
• Ubuntu
• Debian
• Fedora
• CentOS Stream
• RHEL
• openSUSE
• Arch Linux

Ranljivost naj bi obstajala že od leta 2017 dalje.

Kako nevarna je ranljivost?

Pomembno je poudariti:

• napadalec mora imeti vsaj nek lokalni dostop do sistema,
• gre predvsem za nevarnost na shared hosting strežnikih, VPS okoljih in večuporabniških sistemih,
• če ima napadalec možnost poganjati lastno kodo na strežniku, lahko poskuša pridobiti ROOT dostop.

To pomeni, da so posebej zanimive tarče:

• shared hosting strežniki,
• kompromitirani WordPress računi,
• okužene PHP skripte,
• slabo zaščiteni uporabniški računi,
• ranljive aplikacije na VPS strežnikih.

Začasna zaščita (mitigacija)

Dokler niso nameščeni uradni popravki jedra, večina ponudnikov priporoča začasno onemogočanje modulov:

• esp4
• esp6
• rxrpc

CloudLinux in AlmaLinux sta objavila tudi uradna navodila za mitigacijo.

Primer začasne zaščite:

printf 'install esp4 /bin/false
install esp6 /bin/false
install rxrpc /bin/false
' > /etc/modprobe.d/dirtyfrag.conf

rmmod esp4 esp6 rxrpc

Po namestitvi popravljenega jedra se zaščita odstrani z:

rm /etc/modprobe.d/dirtyfrag.conf

Popravljena jedra že prihajajo

AlmaLinux je že začel objavljati popravljena jedra za:

• AlmaLinux 9
• AlmaLinux 10

CloudLinux pa pripravlja popravke za:

• CL8
• CL9
• CL10
• KernelCare livepatch sisteme.

Kaj priporočamo administratorjem?

Če upravljate Linux strežnik, priporočamo:

• takojšnjo začasno mitigacijo,
• čimprejšnjo posodobitev jedra,
• preverjanje, ali uporabljate KernelCare,
• pregled sumljivih procesov in lokalnih uporabnikov,
• dodatno zaščito WordPress in PHP aplikacij,
• omejevanje shell dostopa,
• spremljanje varnostnih obvestil distribucije.

Zaključek

Dirty Frag je trenutno ena najbolj odmevnih Linux ranljivosti leta 2026. Čeprav ne omogoča oddaljenega vdora brez dostopa, predstavlja veliko nevarnost za strežnike z več uporabniki ali kompromitiranimi spletnimi aplikacijami.

Dobra novica je, da so proizvajalci distribucij reagirali zelo hitro in da popravki že prihajajo. Kljub temu pa je priporočljivo zaščito urediti čim prej, saj javni exploit že kroži po internetu.