文章总结： 研究人员披露Linux内核本地权限提升漏洞CVE-2026-46300（Fragnesia），该漏洞因修复DirtyFrag漏洞的补丁意外激活所致，影响xfrm-esp模块，允许攻击者修改内核页缓存中的只读文件获取root权限。建议管理员及时应用供应商内核补丁，或临时禁用esp4/esp6/rxrpc模块并清除页缓存。
综合评分： 91
文章分类： 漏洞分析,漏洞预警,Linux内核
Fragnesia：Dirty Frag补丁引发了新的Linux内核LPE漏洞（CVE-2026-46300）
原创
网络安全9527
网络安全9527
安全圈的那点事儿
2026年5月15日 12:18
北京
在小说阅读器读本章
去阅读
研究人员发现并披露了 Linux 内核中的又一个本地权限提升（LPE）漏洞：CVE-2026-46300，又名“Fragnesia”。该漏洞与最近披露的“Dirty Frag”漏洞属于同一类漏洞。
与“Dirty Frag”类似，它影响的是同一个 Linux 模块（xfrm-ESP）。实际上，据“Dirty Frag”的发现者 Hyunwoo Kim 称，Fragnesia 是在修复“Dirty Frag”原始漏洞之一（即 CVE-2026-43284）的补丁中“意外激活”的。
CVE-2026-46300 解析
Fragnesia 是由 Zellic.io 的威廉·鲍林发现的，该公司的人工智能代理软件审计工具为其提供了帮助。
该研究团队发布了一份简短的技术说明和概念验证漏洞利用代码。
正如 Wiz 研究人员友好地解释的那样，Fragnesia 使本地无特权攻击者能够修改内核页缓存中的只读文件内容，并通过“一种确定性的页缓存破坏原语”，获取 root 权限。
针对“Fragnesia”的补丁和缓解措施
与之前的“Copy Fail”和“Dirty Frag”类似，“Fragnesia”对于单用户工作站和单租户服务器的风险要小于对于共享 Linux 主机（多个用户共享内核）、容器集群（主机间共享页面缓存）、持续集成运行器和构建农场以及运行用户代码的云 SaaS 解决方案的风险。
Linux 管理员应在供应商内核补丁可用时进行应用。在此期间，他们应禁用/拒绝加载或卸载易受攻击的模块（对于 Fragnesia 和 DirtyFrag：esp4、esp6、rxrpc），以降低被利用的风险。
一些 Linux 发行版已经发布了内核补丁，即 AlmaLinux 和 CloudLinux。
CloudLinux 团队解释称：“该漏洞利用程序在获取 root 权限的过程中，能够修改合法的系统二进制文件（公开的 PoC 会覆盖 /usr/bin/su），因此仅应用缓解措施对于在缓解措施实施前可能已被攻击的系统来说是不够的。”
缓解之后，清除页面缓存以强制从磁盘重新加载[运行以下命令：sudo sh -c “echo 3 > /proc/sys/vm/drop_caches”]。
微软的威胁分析师还指出，攻击行为“不限于使用[/usr/bin/su]二进制文件”，并且攻击者“可以修改用户可读取的任何文件，包括[/etc/passwd]。”
他们还补充说，目前没有证据表明“Fragnesia”在野外被利用。
另一方面，“复制失败”漏洞已于本月早些时候被添加到 CISA 的已知可利用漏洞目录中。
针对“复制失败”的内核补丁现已广泛可用，但作为临时缓解措施，管理员可以将 algif_aead 模块列入拒绝加载列表或卸载该模块。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全圈的那点事儿 网络安全9527
网络安全9527《Fragnesia：Dirty Frag补丁引发了新的Linux内核LPE漏洞（CVE-2026-46300）》