近期，Linux内核安全领域掀起了一场风暴，在短短两周内连续曝出三个高危提权漏洞（Copy Fail、Dirty Frag和Fragnesia），其中最新披露的Fragnesia漏洞（CVE-2026-46300）因其稳定可靠的利用方式和广泛的影响范围，引发了安全社区的广泛关注。本文将对该漏洞进行全方位的技术剖析，包括其工作原理、影响范围、利用方式以及修复方案，帮助系统管理员和安全研究人员更好地理解和应对这一威胁。

漏洞概述：三连击中的致命一击

2026年5月13日，安全研究员William Bowling与V12 Security团队公开披露了Linux内核中的Fragnesia漏洞，这是继Copy Fail（CVE-2026-31431）和Dirty Frag之后，两周内出现的第三个高危本地提权漏洞。与前两个漏洞类似，Fragnesia同样允许任何未经授权的本地用户稳定获取root权限，且完全不依赖竞争条件，使得漏洞利用更加可靠。

Fragnesia属于Dirty Frag漏洞家族，其根源在于Linux内核XFRM ESP-in-TCP子系统的逻辑缺陷。具体来说，当内核在处理共享页碎片与socket buffer（套接字缓冲区）合并时出现逻辑错误，导致系统"忘记"某个碎片仍被共享，进而为攻击者留下可控写入空间¹。这种内存管理上的疏忽使得攻击者能够精心构造特定的内存操作序列，最终实现对系统关键文件的篡改。

值得注意的是，该漏洞与两周前披露的Dirty Frag漏洞存在密切关联——所有受Dirty Frag影响且未打2026年5月13日补丁的内核，同样会受到Fragnesia的影响。安全团队已经在Ubuntu 22.04和24.04发行版上成功验证了该漏洞，测试内核版本包括6.8.0-111-generic。

技术原理：从内存管理缺陷到root shell

要深入理解Fragnesia漏洞，我们需要剖析其技术实现细节。该漏洞的核心问题发生在Linux内核的XFRM子系统中，特别是处理IPsec ESP-in-TCP加密流量的部分。攻击者通过精心设计的操作序列，能够利用内核的内存管理缺陷实现对页缓存的任意写入。

漏洞触发机制

攻击流程可以分为五个关键步骤²：

1. 命名空间隔离：攻击者首先调用unshare()系统调用，创建隔离的用户命名空间和网络命名空间。在这个隔离环境里，攻击者能够获取CAP_NET_ADMIN（网络管理能力），为后续攻击创造条件。

2. 安全关联布置：攻击者在内核中安装一个使用已知AES-128-GCM密钥的特制ESP安全关联（SA）。通过AF_ALG接口构建一个256项的密钥流查找表，将每个可能的密钥流字节映射到对应的随机数（IV nonce）上，为后续逐字节改写做准备。

3. 内存布局操控：攻击者将目标二进制文件/usr/bin/su的页面直接拼接进TCP套接字缓冲区，然后切换到espintcp ULP（上层协议）模式。这一步骤利用了内核处理共享页碎片时的逻辑缺陷。

4. 原地解密触发漏洞：当内核尝试原地解密队列中的数据时，由于SKBFL_SHARED_FRAG标记未能正确传播，导致AES-GCM密钥流直接异或进目标文件在页缓存中的副本。这使得攻击者能够精确翻转内存中的指定字节。

5. 权限提升：攻击者将su文件开头的前192字节改成一个会调用setresuid(0,0,0)并执行/bin/sh的小型ELF桩代码。当任何用户执行su命令时，系统便会直接落入root shell。

技术特点分析

Fragnesia漏洞有几个值得注意的技术特点：

1. 仅内存篡改：该漏洞最危险之处在于篡改仅存于内存页缓存，磁盘上的/usr/bin/su原文件保持完好无损。这意味着许多基于文件完整性检查的安全机制可能无法检测到攻击，因为它们在磁盘上找不到任何篡改证据。

2. 无需竞争条件：与许多需要精确时序控制的漏洞不同，Fragnesia完全不依赖竞争条件，使得攻击稳定可靠。

3. 精确字节控制：通过构建256项的密钥流查找表，攻击者能够实现对目标内存内容的逐字节精确控制，类似于"内存雕刻"技术。

4. 绕过部分防护：虽然Ubuntu默认对非特权用户命名空间施加的AppArmor限制能稍微提高攻击门槛，但研究人员指出这只需要额外绕过一步，不属于漏洞本体的有效防护。

影响范围与验证情况

Fragnesia漏洞的影响范围相当广泛，主要影响尚未打2026年5月13日补丁的Linux内核。根据已公开的信息：

• 操作系统分布：已在Ubuntu 22.04 LTS和24.04 LTS上成功验证。根据漏洞机制分析，其他基于相同内核版本的发行版（如Debian、Fedora、RHEL等）同样可能受影响。

• 内核版本：测试确认受影响的内核版本包括6.8.0-111-generic。由于这是内核子系统中的逻辑缺陷，其他使用类似XFRM实现的内核版本也可能存在风险。

• 云环境风险：与之前披露的Copy Fail漏洞类似，Fragnesia在容器化环境中同样构成严重威胁。由于page cache在宿主机范围内共享，该漏洞可能被用于容器逃逸攻击，突破隔离边界获取宿主机的root权限。

• 企业设备：使用受影响内核版本的网络设备、安全设备等嵌入式系统同样面临风险，特别是那些启用IPsec功能的产品。

值得注意的是，该漏洞需要攻击者已经获得本地普通用户权限才能利用，不构成远程攻击风险。但对于多用户系统、开发服务器、CI/CD构建机和云环境等场景，本地用户权限被获取的可能性较高，使得该漏洞的实际威胁不容忽视⁴。

修复方案与缓解措施

面对Fragnesia漏洞的威胁，系统管理员和安全团队可以采取以下措施进行防护：

官方修复方案

1. 内核升级：最根本的解决方案是升级到已修复该漏洞的内核版本。上游补丁已于2026年5月13日提交至netdev邮件列表，修补了内核skbuff.c中共享碎片标记传播的逻辑错误²。Fedora 43内核7.0.6已包含该修复。

   各主流发行版的修复状态如下：

   • Ubuntu：通过标准安全更新渠道发布修复内核
   • Fedora：43内核7.0.6已包含修复
   • RHEL/CentOS：关注官方安全公告获取修复内核
   • Debian：检查安全仓库获取更新

   升级后需重启系统使新内核生效。

2. 清理页缓存：对于疑似已遭受攻击的系统，应立即清理页缓存中的/usr/bin/su篡改副本，可执行命令：

   echo 1 | tee /proc/sys/vm/drop_caches

   或者直接重启系统。

临时缓解措施

在无法立即升级内核的情况下，可采取以下临时缓解方案：

1. 禁用相关模块：如果系统不依赖IPsec ESP或RxRPC协议，最快的临时解决方案是禁用相关脆弱模块。这可以通过内核模块黑名单或直接卸载相关模块实现。

2. 限制用户命名空间：通过设置内核参数限制非特权用户命名空间的创建，可以增加攻击门槛：

   sysctl -w kernel.unprivileged_userns_clone=0

3. 增强监控：加强对/usr/bin/su等关键setuid程序的内存和执行的监控，使用完整性检查工具检测异常修改。

长期防护建议

1. 及时更新：建立规范的内核安全更新机制，及时关注Linux内核安全公告。

2. 最小权限原则：遵循最小权限原则配置系统，限制普通用户的权限和可执行操作。

3. 深度防御：部署多层次安全防护，包括AppArmor/SELinux、完整性监控、入侵检测系统等。

4. 容器加固：对于容器环境，限制容器内的能力集，使用只读文件系统等加固措施。

漏洞利用实例分析

根据公开的技术细节和V12 Security提供的PoC（https://github.com/v12-security/pocs/tree/main/fragnesia），我们可以进一步分析该漏洞的实际利用过程。

攻击步骤详解

1. 环境准备：

   unshare(CLONE_NEWUSER | CLONE_NEWNET);

   通过unshare()调用创建隔离的命名空间环境，获取必要的操作权限。

2. 网络配置：
   在新建的网络命名空间中设置虚拟网络接口，为后续IPsec操作准备网络环境。

3. 安全关联建立：

   struct sadb_sa sa = {
       .sadb_sa_len = sizeof(struct sadb_sa),
       .sadb_sa_exttype = SADB_EXT_SA,
       .sadb_sa_spi = htonl(0x12345678),
       .sadb_sa_encrypt = SADB_EALG_AES_GCM,
       .sadb_sa_encrypt_keylen = 128,
   };

   设置使用已知密钥的AES-128-GCM加密的ESP安全关联。

4. 密钥流表构建：
   通过AF_ALG接口构建256项的密钥流查找表，建立IV nonce到密钥流字节的映射关系。

5. 内存布局操控：
   将目标文件/usr/bin/su的页面拼接入TCP套接字缓冲区，切换到espintcp模式。

6. 精确内存改写：
   利用内核的原地解密操作，精确翻转/usr/bin/su在页缓存中的特定字节，将其前192字节改为恶意ELF桩代码。

7. 触发执行：
   当任何用户执行su命令时，系统将执行被篡改的代码，直接提供root shell。

PoC关键点分析

V12 Security提供的PoC实现了上述攻击流程，有几个关键技术点值得注意：

1. 命名空间处理：PoC中正确处理了用户命名空间和网络命名空间的创建与配置，确保攻击在隔离环境中进行。

2. 加密参数设置：精确配置AES-GCM加密参数，确保能够预测密钥流并进行可控的内存修改。

3. 内存对齐处理：精心处理内存对齐问题，确保修改的精确性和可靠性。

4. 稳定性处理：包含多种错误处理和稳定性优化，提高攻击成功率。

与其他内核提权漏洞的对比

Fragnesia是近期曝光的第三个Linux内核高危提权漏洞，与Copy Fail（CVE-2026-31431）和Dirty Frag相比，它们有一些共同点和差异：

从防护角度看，这三个漏洞都强调了内核子系统交互复杂性带来的安全风险，以及in-place操作优化可能引入的安全隐患⁴⁵。这也提醒开发者和安全研究人员需要特别关注这类优化可能带来的副作用。

防护体系建议

针对Fragnesia及类似内核提权漏洞，企业应当建立多层防护体系：

1. 补丁管理：建立规范的内核补丁管理流程，及时应用安全更新。可以考虑使用自动化工具监控和部署内核更新。

2. 权限控制：

   • 限制普通用户的权限，遵循最小权限原则
   • 控制用户命名空间的创建能力
   • 限制容器的能力集

3. 监控与检测：

   • 部署文件完整性监控(FIM)系统，检测关键文件的修改
   • 使用行为监控工具检测异常的内核操作
   • 审计系统调用和权限提升操作

4. 加固措施：

   • 启用SELinux/AppArmor等强制访问控制机制
   • 配置内核加固参数，如mmap_min_addr等
   • 禁用不必要的内核模块和功能

5. 应急响应：

   • 建立漏洞应急响应流程
   • 准备关键系统的回滚方案
   • 定期备份重要数据和配置

总结与展望

Fragnesia漏洞再次提醒我们内核安全的重要性。作为两周内曝光的第三个高危提权漏洞，它展示了现代Linux内核中仍然存在的深层次安全问题。该漏洞利用内存管理子系统的逻辑缺陷，通过精密的操作序列实现可靠的权限提升，对多用户系统和容器环境构成严重威胁。

从技术角度看，Fragnesia及其相关漏洞（Copy Fail、Dirty Frag）揭示了几个值得关注的安全趋势：

1. 优化带来的风险：这些漏洞多源于性能优化（如in-place操作）引入的逻辑复杂性，提示我们在追求性能时需要更加谨慎地权衡安全代价。

2. 子系统交互漏洞：现代内核子系统间的交互日益复杂，容易产生难以察觉的逻辑缺陷，需要更加系统的安全审查。

3. 容器安全边界：page cache等共享机制使得容器逃逸成为可能，需要重新思考容器隔离模型的安全假设。

对于未来工作，建议安全研究人员和开发者：

• 加强对内核内存管理子系统的安全审计
• 开发更有效的内核漏洞静态分析和模糊测试工具
• 研究针对类似漏洞的运行时防护机制
• 改进容器安全模型，强化隔离边界

最后，面对不断出现的核心漏洞，保持系统更新、遵循安全最佳实践仍然是防护的基础。安全是一个持续的过程，需要开发者、维护者和管理员的共同努力。