UCloud-202605-003:Linux Kernel Fragnesia 本地权限提升漏洞安全告警

Linux 内核是一款开源的类 UNIX 操作系统内核，作为 Linux 系统的核心组件，负责管理系统硬件资源、进程调度、内存管理、文件系统与网络通信等核心功能，为各类应用程序提供底层支撑与系统调用接口。其广泛应用于服务器、桌面终端、移动设备、嵌入式系统与云计算环境，是全球主流 IT 基础设施的核心运行载体。

 

2026 年 5 月，UCloud 安全中心监测并确认 Linux Kernel 存在一处本地权限提升漏洞 Fragnesia（CVE-2026-46300）。

经分析，漏洞源于 Linux 内核在合并 socket 缓冲区（sk_buff）时，未能正确传播共享分片（shared fragment）标记，导致只读文件页缓存可被误当作 ESP 密文进行原地解密。攻击者可通过组合使用 splice() 与 espintcp ULP，在不写入磁盘的前提下对任意可读文件的页缓存（如 /usr/bin/su）进行逐字节篡改，进而通过执行被改写的 setuid 程序，由普通用户提权至 root。

Fragnesia 是 Dirty Frag 漏洞家族的独立新变种，源自上游修复 Dirty Frag（参见 UCloud-202605-001）时引入的新缺陷，与原 Dirty Frag 属于不同的代码路径与触发条件，需要单独修复。

需要注意的是，Ubuntu 默认的 AppArmor 配置会限制非特权 user namespace 的使用，对当前公开 PoC 的利用形成一定缓解，但该缓解并不消除漏洞本身，攻击者仍可在禁用或绕过 AppArmor 的环境中实现完整利用。

 

目前该漏洞的 PoC 与技术细节已公开，利用门槛较低，影响范围广泛，建议客户尽快开展自查与修复。

在官方补丁尚未应用前，建议采取以下临时防护措施以降低被利用风险：

 

- 在业务允许的前提下，禁用并卸载 Fragnesia 与 Dirty Frag 涉及的内核模块（esp4、esp6、rxrpc），可执行如下命令：sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/fragnesia.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

- 保持 AppArmor / SELinux 启用，并限制非特权 user namespace（如 kernel.unprivileged_userns_clone=0）以削弱公开 PoC 的可利用性

- 审计并尽可能收敛系统中的 setuid 可执行文件，移除不必要的 setuid 位

- 严格限制本地可登录用户范围，避免低权限用户登录关键主机

- 通过 seccomp 等机制，限制非必要进程对 splice() 等零拷贝系统调用的使用

- 加强主机层异常行为监控（异常 splice() / sendfile() 调用、setuid 程序被修改、关键二进制 hash 变化等），及时发现可疑利用行为

- https://lists.openwall.net/netdev/2026/05/13/79

- https://www.wiz.io/blog/fragnesia-linux-kernel-local-privilege-escalation-via-esp-in-tcp