文章总结： DirtyFrag是影响近9年Linux内核的本地权限提升漏洞，属于DirtyPipe变种，通过篡改页缓存实现稳定提权。它包含xfrm-ESP和RxRPC两个独立漏洞，在不同系统配置下互补且均能绕过CopyFail的缓解措施。攻击者可借此修改系统认证文件获取root权限，建议尽快关注官方补丁并采取临时缓解措施。
综合评分： 84
文章分类： 漏洞分析,漏洞预警,威胁情报
Dirty Frag 漏洞爆发！影响9年Linux内核的“确定性”提权漏洞
微步情报局
微步情报局
微步在线研究响应中心
2026年5月8日 09:33
北京
在小说阅读器读本章
去阅读
- 漏洞概况
2026年5月7日，安全研究员 Hyunwoo Kim（@v4bel）公开了一个名为 Dirty Frag 的本地权限提升（LPE）漏洞。该漏洞影响自2017年以来（约9年）的主流Linux发行版，允许任何本地用户稳定、确定性地获得root权限。
关于该漏洞的细节、影响系统及版本、修复方案、临时缓解措施，微步情报局正在进一步研究中，详情请关注微步漏洞情报。
2. 漏洞本质：Page Cache缓存篡改
Dirty Frag 属于“Dirty Pipe”漏洞家族的变种，通过操纵内核页缓存（Page Cache），直接篡改磁盘文件在内存中的只读副本。
Dirty Frag 包含两个独立的漏洞，分别位于不同的内核模块。攻击者根据目标环境选择其中一个进行利用，每个漏洞均可单独完成提权。
漏洞一：xfrm-ESP Page-Cache Write
| 项目 | 信息 |
| — | — |
| 所在模块 | esp4 / esp6 |
| 影响范围 | 自 2017-01-17 (cac2661c53f3) 起的所有内核 |
| 利用前提 | 需要创建用户命名空间的权限 |
利用流程：
-
创建用户命名空间
：攻击者创建一个新的用户命名空间，获取所需的权限
-
触发ESP数据包处理
：通过Netlink接口构造特制的ESP数据包，触发
xfrm代码路径中的页缓存写入操作 -
篡改页缓存
：利用漏洞向目标文件的页缓存中写入任意4字节数据
-
修改系统文件
：反复利用该原语，篡改
/etc/passwd或/etc/sudoers等关键文件 -
获得root权限
：通过篡改后的系统文件创建root用户或提升当前用户权限
漏洞二：RxRPC Page-Cache Write
| 项目 | 信息 |
| — | — |
| 所在模块 | rxrpc |
| 影响范围 | 自 2023-06 (2dc334f1a63a) 起的所有内核 |
| 利用前提 | 需要 rxrpc 模块已加载（Ubuntu默认加载），不需要任何特权 |
利用流程：
-
创建AF_RXRPC套接字
：攻击者创建一个
AF_RXRPC类型套接字 -
构造特殊的RxRPC调用
：通过特定的控制消息触发内核rxrpc代码路径中的页缓存写入漏洞
-
篡改页缓存
：向目标文件的页缓存中写入恶意数据
-
修改认证文件
：利用写入原语修改
/etc/passwd或/etc/shadow -
获得root权限
：通过新建的root用户或修改变更当前用户权限
两个漏洞的场景覆盖
| 环境场景 | 可用的漏洞 |
| — | — |
| 允许非特权用户命名空间（大多数发行版） | xfrm-ESP |
| 限制非特权用户命名空间（如Ubuntu + AppArmor） | RxRPC（若模块加载） |
| Ubuntu默认配置 | 至少一个可用 （xfrm-ESP 通常可用；如果被AppArmor限制，rxrpc默认加载） |
3. 和“Copy Fail”漏洞是什么关系？
相同点：xfrm-ESP 漏洞与 Copy Fail 共享相同的内核写入原语。
差异点：Dirty Frag 不依赖 algif_aead 模块。因此，即使系统已应用 algif_aead 黑名单来缓解 Copy Fail，Dirty Frag 仍然有效。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：微步在线研究响应中心 微步情报局
微步情报局《Dirty Frag 漏洞爆发！影响9年Linux内核的“确定性”提权漏洞》