UCloud-202605-001:Linux Kernel Dirty Frag 本地权限提升漏洞安全告警
- 发布时间
- 更新时间
- 2026-05-08
- 漏洞等级
- High
- CVE编号
- —
漏洞详情
Linux 内核是一款开源的类 UNIX 操作系统内核，作为 Linux 系统的核心组件，负责管理系统硬件资源、进程调度、内存管理、文件系统与网络通信等核心功能，为各类应用程序提供底层支撑与系统调用接口。其广泛应用于服务器、桌面终端、移动设备、嵌入式系统与云计算环境，是全球主流 IT 基础设施的核心运行载体。
2026 年 5 月，UCloud 安全中心监测并确认 Linux Kernel 存在一处本地权限提升漏洞 Dirty Frag。
经分析，漏洞源于 Linux 内核中 xfrm-ESP（自 2017 年起引入）与 RxRPC（自 2023 年 6 月起引入）两个独立模块的逻辑缺陷。攻击者可利用 splice() 等零拷贝路径污染 sk_buff 的 frag 成员，进而向任意可读文件的页缓存写入受控数据。通过篡改 setuid 程序的可执行内容，即可在几乎所有主流 Linux 发行版上稳定地实现从普通用户到 root 权限的提升。
Dirty Frag 是此前 Copy Fail 漏洞（CVE-2026-31431）的延续，二者均属于内核零拷贝路径（如 splice / sendfile）上的页缓存写入缺陷。
目前该漏洞的 PoC 与技术细节已完全公开，利用门槛较低，影响范围广泛，建议客户尽快开展自查与修复。
已知影响范围
Ubuntu 24.04.4：6.17.0-23-generic
RHEL 10.1：6.12.0-124.49.1.el10_1.x86_64
openSUSE Tumbleweed：7.0.2-1-default
CentOS Stream 10：6.12.0-224.el10.x86_64
AlmaLinux 10：6.12.0-124.52.3.el10_1.x86_64
Fedora 44：6.19.14-300.fc44.x86_64
修复方案
官方暂未发布正式补丁，请用户密切关注上游内核及各发行版（如 Ubuntu、RHEL、SUSE、Fedora 等）的安全公告，待补丁发布后第一时间升级至最新安全版本。完成内核升级后，请重启系统以确保补丁生效。
临时缓解措施
在官方补丁发布前，建议采取以下临时防护措施以降低被利用风险：
• 在业务允许的前提下，禁用并卸载存在漏洞的内核模块（esp4、esp6、rxrpc），可执行如下命令：sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"
• 审计并尽可能收敛系统中的 setuid 可执行文件，移除不必要的 setuid 位
• 严格限制本地可登录用户范围，避免低权限用户登录关键主机
• 通过 seccomp、SELinux/AppArmor 等机制，限制非必要进程对 splice() 等零拷贝系统调用的使用
• 加强主机层异常行为监控（异常 splice() / sendfile() 调用、setuid 程序被修改等），及时发现可疑利用行为