Dirty Frag ha superato Copy‑Fail: la seconda vulnerabilità critica di Linux rimane ancora non risolta dopo un mese.

Vulnerabilità critica Dirty Frag: cosa devi sapere

Cos’è e come funziona
Quanto è pericolosa? Qualsiasi utente locale può ottenere privilegi root sulla maggior parte delle distribuzioni Linux più popolari rilasciate dal 2017 (Ubuntu, Arch, RHEL, Fedora e persino WSL 2 su Windows 11).

Stato delle correzioni
Al momento della pubblicazione non esistono patch – né nelle singole distribuzioni, né nel ramo principale del kernel Linux.

Come si manifesta?
L’attacco non dipende dalla configurazione di sistema e non richiede un preciso momento di avvio. Avviando un piccolo programma, l’utente ottiene i privilegi amministrativi.

Piattaforme colpite – Ubuntu 24/26

- Arch Linux (ultima versione)
- RHEL, CentOS Stream
- Fedora, AlmaLinux, OpenSUSE e altre distribuzioni

Come proteggersi
La vulnerabilità è legata a tre moduli kernel responsabili della cifratura IPSec:

1. esp4 – IPv4‑ESP
2. esp6 – IPv6‑ESP
3. rxrpc – protocollo RPC su IPsec

Questi componenti sono necessari solo nelle reti VPN aziendali. Disabilitandoli si può chiudere rapidamente la vulnerabilità senza impatto significativo sulle workstation e server di uso comune.

Storia della scoperta – il 30 aprile il team del kernel Linux ha ricevuto informazioni sul problema.
- Una terza parte ha violato l’accordo e pubblicato i dettagli prima del previsto, cosa che secondo Tom’s Hardware ha portato all’uso attivo della vulnerabilità da parte di malintenzionati.

Come funziona l’attacco
Dirty Frag, come Copy Fail, sfrutta il meccanismo zero‑copy nel kernel.

1. L’aggressore inserisce un descrittore di cache di pagina in una chiamata di sistema splice.
2. Ciò consente di scrivere dati su file a cui un utente normale non ha permessi di scrittura.
3. Attraverso queste scritture l’utente ottiene privilegi root.

Il codice della vulnerabilità si trova nei moduli di cifratura IPSec. Il primo errore – *xfrm-ESP Page Cache Write* – è apparso nel commit `cac2661c53f3` (2017).
AppArmor su Ubuntu chiude questa prima breccia, quindi il PoC dimostrativo utilizza anche la seconda – *RxRPC Page‑Cache Write* dal commit `2dc334f1a63a`.

Conclusione
Dirty Frag rappresenta una minaccia seria per la maggior parte delle distribuzioni Linux moderne. Fino a quando non verranno rilasciati patch ufficiali, si consiglia di disabilitare i moduli esp4/esp6/rxrpc o aggiornarsi a una versione del kernel in cui la vulnerabilità è già stata risolta.