Dirty Frag a dépassé Copy‑Fail : la deuxième vulnérabilité critique de Linux reste non corrigée après un mois.

Vulnérabilité critique Dirty Frag : ce qu’il faut savoir

Comment ça fonctionne ? Quelle est la gravité ? Tout utilisateur local peut obtenir les privilèges root sur la plupart des distributions Linux populaires publiées depuis 2017 (Ubuntu, Arch, RHEL, Fedora et même WSL 2 sous Windows 11).
État des correctifs : au moment de la publication, aucun correctif n’est disponible – ni dans les distributions individuelles, ni dans le noyau principal.

Comment se manifeste‑t‑il ? L’attaque ne dépend pas de la configuration du système et ne requiert pas un timing précis. En lançant une petite application, l’utilisateur obtient des droits d’administrateur.
Plateformes affectées – Ubuntu 24/26

- Arch Linux (dernière version)
- RHEL, CentOS Stream
- Fedora, AlmaLinux, OpenSUSE et autres distributions

Comment se protéger ? La vulnérabilité est liée à trois modules du noyau responsables du chiffrement IPSec :

1. esp4 – IPv4‑ESP
2. esp6 – IPv6‑ESP
3. rxrpc – protocole RPC sur IPsec

Ces composants ne sont nécessaires que dans les réseaux VPN d’entreprise. En les désactivant, on peut rapidement fermer la faille sans impact notable sur les postes de travail et serveurs ordinaires.

Historique de la divulgation : le 30 avril, l’équipe du noyau Linux a reçu des informations sur le problème.
- Une tierce partie a violé un accord et publié les détails avant la date prévue, ce qui, selon Tom’s Hardware, a conduit à une exploitation active par des attaquants.

Comment fonctionne l’attaque ? Dirty Frag, comme Copy Fail, exploite le mécanisme de copie zéro (zero‑copy) du noyau.
1. L’agresseur insère un descripteur de cache de pages dans l’appel système splice.
2. Cela permet d’écrire dans des fichiers auxquels un utilisateur ordinaire n’a pas accès en écriture.
3. Grâce à ces écritures, l’utilisateur obtient les privilèges root.

Le code vulnérable se trouve dans les modules de chiffrement IPSec. La première faille – *xfrm-ESP Page Cache Write* – apparaît dans le commit `cac2661c53f3` (2017).
AppArmor sur Ubuntu bloque cette première brèche, d’où le PoC démonstratif utilise en plus la seconde – *RxRPC Page‑Cache Write* du commit `2dc334f1a63a`.

Conclusion : Dirty Frag constitue une menace sérieuse pour la plupart des distributions Linux modernes. En l’absence de correctifs officiels, il est recommandé de désactiver les modules esp4/esp6/rxrpc ou de mettre à jour vers une version du noyau où la vulnérabilité a déjà été corrigée.