🐧 Linux: DirtyClone — невидимый LPE который не оставляет следов в логах

Коллеги, добрый вторник. Пока Bad Epoll ещё патчируется на флотах, JFrog Security Research опубликовали разбор DirtyClone (CVE-2026-43503) — и это один из самых технически изощрённых LPE в серии. CVSS 8.8.

Что делает DirtyClone особенным: атака генерирует ноль записей в kernel audit log. Ваш AIDE и Tripwire не заметят ничего — бинарь на диске не изменится. Изменится только его копия в page cache памяти. Это делает DirtyClone особенно опасным в multi-tenant средах и Kubernetes-кластерах.

Механика: баг в функции __pskb_copy_fclone() — она сбрасывает флаг SKBFL_SHARED_FRAG при клонировании сетевых пакетов. Этот флаг — маркер безопасности: "эта память файловая, не пиши в неё напрямую". Без флага ядро разрешает in-place запись. Атакующий загружает /usr/bin/su в page cache, заворачивает эти страницы в сетевой пакет, клонирует через TEE-правило netfilter, прогоняет через IPsec-туннель — и IPsec-дешифрование перезаписывает бинарь в памяти. Следующий вызов su — это уже код атакующего с root-привилегиями.

Наибольший риск несут multi-tenant облака, Kubernetes-кластеры и контейнерные workload-ы с включёнными user namespaces — любое ядро без полного patch chain CVE-2026-43503 остаётся уязвимым, даже если оригинальные DirtyFrag патчи были применены.

# ВАЖНО: это НЕ один патч — это серия из четырёх CVE
# Нужна именно полная серия для DirtyFrag + DirtyClone

# Проверяем версию ядра (нужна 7.1.3+ / 6.18.38+ / 6.12.95+):
uname -r

# Обновляем:
apt update && apt full-upgrade -y && reboot   # Debian/Ubuntu
dnf update kernel -y && reboot               # RHEL/Rocky/AlmaLinux

# МИТИГЕЙШН без перезагрузки:
# Ограничиваем user namespaces:
sysctl -w kernel.unprivileged_userns_clone=0  # Debian/Ubuntu
sysctl -w user.max_user_namespaces=0          # RHEL/Fedora

# Blacklist модулей IPsec (если не используется):
printf "install esp4 /bin/false\n\
install esp6 /bin/false\n\
install rxrpc /bin/false\n" | \
    tee /etc/modprobe.d/dirtyclone.conf
rmmod rxrpc esp4 esp6 2>/dev/null || true

# После патча — сбрасываем page cache:
echo 3 | tee /proc/sys/vm/drop_caches

# Проверяем что все четыре CVE серии закрыты:
zcat /proc/config.gz 2>/dev/null | grep CONFIG_XFRM || \
    cat /boot/config-$(uname -r) | grep CONFIG_XFRM

Итог: DirtyFrag-класс, вероятно, ещё не исчерпан — любая функция, которая перемещает fragment descriptors без сохранения shared-frag бита, является потенциальным новым CVE. Патч + перезагрузка — единственное закрытие. Остальное — стопгэп.

#linux #kernel #dirtyclone #lpe #security #контейнеры #sysadmin #admin_future