Dirty Frag Linux の欠陥によりローカル攻撃者が root アクセス権を取得できる

Dirty Frag は新たに公開された Linux カーネルの脆弱性ですこのチェーンにより、ローカルの特権のないユーザーが影響を受けるシステム上で root アクセス権を取得できるようになります。この問題は、ESP および RxRPC に関連付けられたカーネル ネットワーク コンポーネントに影響しており、公開された概念実証活動により、管理者はすでに緊急性を高めています。

2 つの欠陥は CVE-2026-43284 および CVE-2026-43500 として追跡されています。これらを連鎖させてページ キャッシュ データを改ざんし、低レベルのアクセスから完全なシステム制御に移行することができます。

これ自体はリモート攻撃ではありません。攻撃者は、まずローカル アクセス (侵害されたユーザー アカウント、Web シェル、SSH アクセス、ホスト上でコードを実行できるコンテナ ワークロードなど) を必要とします。その足場が確立されると、Dirty Frag は攻撃者に root 権限を与えることで被害を増大させることができます。

ダーティフラグとは

Dirty Frag は、セキュリティ研究者の Hyunwoo Kim によって発見され、報告された Linux のローカル権限昇格の問題です。この脆弱性クラスは、Linux カーネル内の 2 つの個別のページ キャッシュ書き込み欠陥を連鎖させることによって機能します。

1 つ目の欠陥は、IPsec で使用される ESP サポートに影響し、CVE-2026-43284 として追跡されています。 2 つ目は RxRPC に影響し、CVE-2026-43500 として追跡されます。

名前にはdが付いていますrawn と以前の Linux ページキャッシュのバグとの比較ダーティパイプやコピー失敗など。これらのバグにより、攻撃者がそれらのファイルへの書き込み権限を持っていない場合でも、システムがメモリ内の保護されたファイルから読み取る内容が変更される可能性があるため、類似性が重要になります。

一目でわかる

なぜ欠陥が深刻なのか

ローカル権限昇格の欠陥は、攻撃者がすでに限られた足場を築いた後に現れることが多いため、ダーティ フラグが重要になります。 root アクセスを使用すると、攻撃者はセキュリティ ツールを無効にし、資格情報を盗み、ログを変更し、永続性をインストールし、環境の奥深くに移動することができます。

Microsoftは、Dirty Fragは、SSHアクセス、Webシェルの実行、コンテナエスケープシナリオ、または侵害された低特権アカウントによる最初の侵害後に使用される可能性があると述べた。同社はまた、影響を受ける環境にはUbuntu、RHEL、CentOS Stream、AlmaLinux、Fedora、openSUSE、OpenShiftの導入環境が含まれる可能性があると述べた。

Microsoft はまた、ダーティ フラグまたはコピー エラーに関連する可能性のある特権昇格パターンを含む、限られた実際の活動を報告しました。そのため、この問題は純粋に理論的なカーネルのバグよりも緊急性が高くなります。

攻撃が高レベルでどのように機能するか

ダーティ フラグ チェーンは、Linux カーネルが特定のメモリ フラグメントとページ キャッシュ データをどのように処理するかをターゲットとしています。適切な条件下では、攻撃者は、ディスク上のファイルに直接書き込むことなく、保護されたファイル データをメモリ内で変更されたように見せかけることができます。

CVE-2026-43284 は、IPsec で使用される ESP パスに影響します。Ubuntu が問題を説明たとえば、最初にプライベートコピーを作成せずに共有された skb フラグメントを変更できる場合です。

CVE-2026-43500 は RxRPC に影響します。 ESP の問題と連鎖すると、権限昇格パスが機能するシステムの数が拡大する可能性があります。

影響を受けるシステム

Ubuntuによると、この脆弱性は2026年5月7日に公開され、Linuxカーネルモジュールに影響を与えるという。そのガイダンスには複数のリストが記載されています影響を受ける Ubuntu リリースd、14.04 LTS、16.04 LTS、18.04 LTS、20.04 LTS、22.04 LTS、24.04 LTS、25.10、および 26.04 LTS を含む。

Red HatはDirty Fragのセキュリティ情報も公開し、ローカルアカウントを持つユーザーが欠陥を引き起こしてroot権限を取得する可能性があると述べた。 Red Hat は、以前のコピー失敗の脆弱性と類似しているため、この問題をコピー失敗 2 と呼んでいます。

セキュリティ チームは、インターネットに接続されたサーバーのみが重要であると想定すべきではありません。開発者ワークステーション、CI ランナー、コンテナ、Linux デスクトップ、内部サーバー、クラウド ワークロード、および WSL スタイルの環境もレビューが必要な場合があります。

パッチのステータスと軽減策

管理者は、ベンダー提供のカーネル アップデートがディストリビューションおよびカーネル パッケージで利用可能になったらすぐに適用する必要があります。パッチのタイミングは、ベンダー、カーネルの種類、サポート層、クラウド イメージによって異なる場合があります。

Microsoftは、CVE-2026-43284に対するLinuxカーネルパッチを発表したまた、その時点では CVE-2026-43500 が一部の場所でまだ保留中であるとも述べています。

Ubuntu では、影響を受けるモジュールのロードをブロックし、すでにアクティブな場合はアンロードする一時的な軽減策を推奨しています。これにより危険性は軽減されますが、IPsec、StrongSwan、AFS、または別の RxRPC ベースのワークロードに依存するシステムが破損する可能性があります。

管理者が確認すべきこと

• ローカル ユーザーまたはコンテナー ワークロードを許可する Linux ホストを特定します。
• 影響を受ける ESP および RxRPC モジュールがロードされているかどうかを確認します。
• 各システムで使用されている正確なカーネル パッケージについては、ベンダー アドバイザリを確認してください。
• ディストリビューションがカーネルのアップデートをリリースしたら、カーネルのアップデートを適用します。
• IPsec と RxRPC の依存関係を確認した後でのみ、一時的なモジュールのブロックを検討してください。
• 最近の権限昇格アラートと疑わしいルートレベルのアクティビティを確認します。
• 悪用が疑われる場合は、機密ファイルの整合性を検証します。

コンテナ環境に注意が必要な理由

ローカル権限昇格のバグは、攻撃者が限られたワークロードからホスト上でより強力な位置に移動するのに役立つ場合があるため、コンテナ環境には特に注意が必要です。

Ubuntuは、コンテナエスケープの公開概念実証はガイダンスで公開されていないものの、任意のサードパーティワークロードを実行するデプロイメントは追加のコンテナエスケープリスクに直面する可能性があると述べています。

このため、Dirty Frag は、ホスティング プロバイダー、CI プラットフォーム、共有開発システム、クラウド サーバー、信頼できないワークロードを実行する環境にとって特に重要になります。

ダーティフラグの違い

Dirty Frag は、多くの古いカーネル エクスプロイトとは異なり、脆弱なタイミング レースに依存しません。レポートでは、従来の競合状態による特権昇格手法よりも信頼性が高いと説明されています。

その信頼性により、攻撃者が最初のアクセスを取得した後のリスクが増大します。権限の低いシェルは、そうでなければ価値が制限される可能性があり、完全なルート制御へのパスになる可能性があります。

概念実証が公開されると、タイムラインも変わります。防御側は、特にカーネルの更新が遅れているシステムでは、この問題を攻撃者がすぐにテストできるものとして扱う必要があります。

まとめ

1. Dirty Frag は、Linux のローカル権限昇格の脆弱性チェーンです。
2. 2 つの欠陥は CVE-2026-43284 および CVE-2026-43500 として追跡されています。
3. 攻撃者はまずローカルでコードを実行する必要がありますが、そのチェーンにより root アクセスが発生する可能性があります。
4. Ubuntu、Red Hat、Fedora、AlmaLinux、CentOS Stream、openSUSE、および関連環境は見直しが必要な場合があります。
5. 管理者はカーネルのアップデートを適用し、パッチがまだ入手できない場合にはベンダーが推奨する緩和策を検討する必要があります。

よくある質問