主要なLinuxディストリビューションが、開示禁止期間が破られた後、2つの新しい脆弱性を修正するために急いでいます。
Linuxカーネルのサブシステムにおける2つの連鎖した問題で構成される脆弱性であり、「Dirty Frag」として知られるこの脆弱性は、2026年4月末に独立したセキュリティ研究者Hyunwoo Kimによって検出されました。
彼は、ローカルアクセスを持つ攻撃者が脆弱なデバイスに対してルート権限を取得できるLinuxカーネルのローカル権限昇格（LPE）欠陥を発見しました。
この脆弱性は、Linuxカーネルの9年前の欠陥である「Copy Fail」と同様の影響を持ち、CVE-2026-31431として追跡されています。Copy Failは、攻撃的セキュリティ企業Theoriの脆弱性研究者Taeyang Leeによって4月に発見されました。
Leeの研究は、KimがLinuxカーネル内の同様の脆弱性を探すきっかけになりました。
Kimは4月30日にLinuxカーネルセキュリティチームに連絡しましたが、5月8日、彼はOpenwall Projectのオープンソースセキュリティメールスレッドのユーザーに対し、新しい脆弱性開示の禁止期間がパッチの準備完了前に破られたことを通知しました。
「[Linuxディストリビューション]メンテナーとの協議の後、メンテナーの要求により、このDirty Fragドキュメントを公開リリースしています」とKimは述べています。
その後間もなく、Kimと脆弱性研究コミュニティの他のメンバーがDirty Frag脆弱性の修正方法を開発するために取り組みました。
一方、Linuxカーネルセキュリティチームは5月8日に2つの独立した高重大度のページキャッシュ脆弱性を開示しました。これらが連鎖すると、Dirty Fragが構成されます。
1番目はCVE-2026-43284として追跡されており、2017年以来悪用可能なLinuxカーネルのxfrm-ESP（IPsec）サブシステムにおける任意書き込み脆弱性です。悪用されると、攻撃者が任意の値を任意の場所に書き込む能力を獲得します。CVE-2026-43284の重大度レーティング（CVSS）は8.8です。
2番目はCVE-2026-43500として追跡されており、2023年以来悪用可能なLinuxカーネルのRxRPCサブシステムにおけるバッファ外書き込み脆弱性です。バッファ外書き込みとは、製品が意図されたバッファの終了後または開始前にデータを書き込む脆弱性です。CVE-2026-43500の重大度レーティング（CVSS）は7.8です。
野生環境での観測活動がDirty Fragの悪用にリンクされている可能性
Kimはまた、Dirty Fragの概念実証（PoC）エクスプロイトを公開しました。
5月8日に公開されたブログ記事で、Microsoft Defender Security Research Teamは、「限定的な野生活動」が特定され、「su」を含む権限昇格が観測されていることを指摘しました。これはDirty FragまたはCopy Failのいずれかに関連する技法を示唆する可能性があります。
研究者たちは、Dirty Fragが以下を含むさまざまな侵入パスで悪用される可能性があると考えています。
- SSHアカウントの侵害
- インターネット接続されたアプリケーションへのウェブシェルアクセス
- ホスト環境へのコンテナエスケープ
- 低特権サービスアカウントの悪用
- フィッシングまたはリモートアクセス侵害に続く悪用後の活動
一方、LinuxディストリビューションメンテナーはCVE-2026-43284とCVE-2026-43500のパッチを段階的にリリースしています。
Dirty Fragに対する軽減推奨事項
関連するパッチが利用可能になるまで、Kimはセキュリティチームに対し、脆弱なカーネルモジュールを無効化することで、Dirty Fragの一時的な軽減策として以下のスクリプトを実行することを推奨しています。
sh -c “printf ‘install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n’ > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true”
5月8日に公開された別のブログ記事で、Google Cloud傘下のWizは軽減ステップのリストを共有しました。
これには以下のステップが含まれています。
- 軽減を適用する前に運用影響を評価する（esp4/esp6を無効化するとIPsec機能が損なわれる可能性があり、rxrpcを無効化するとAFSベースの環境に影響する可能性があります）
- パッチが利用可能になったらすぐに適用する
- ローカルアクセスパスを強化する：シェルアクセスを制限して最小権限を実行し、SELinux/AppArmorが実施されていることを確認し、不要な機能（例：CAP_NET_ADMIN）を付与しない
- 疑わしい活動を監視する：異常な権限昇格を検出し、コンパイルツールの実行とエクスプロイトのような動作を追跡し、重要なシステムバイナリの整合性を検査する
- 軽減後のクリーンアップを実行する（侵害が疑われる場合）：「echo 3 > /proc/sys/vm/drop_caches」スクリプトを実行する
翻訳元: https://www.infosecurity-magazine.com/news/dirty-frag-linux-kernel/
