DirtyFrag (CVE-2026-43284) – Kritische Linux-LPE-Sicherheitslücke: Analyse und Schutzmaßnahmen

Übersicht

Am 7. Mai 2026 veröffentlichte der Sicherheitsforscher Hyunwoo Kim (@v4bel) Details zu einer kritischen lokalen Privilegienausweitung (LPE) im Linux-Kernel – **DirtyFrag** (CVE-2026-43284 / CVE-2026-43500). Der Fehler betrifft alle Linux-Kernel seit Januar 2017, also über 9 Jahre hinweg, und nahezu alle gängigen Linux-Distributionen.

Schwachstellenbewertung

Metrik

Wert

CVE-ID

CVE-2026-43284 (ESP-Variante), CVE-2026-43500 (RxRPC-Variante)

Schweregrad

**Kritisch (Critical)**

CVSS 3.1

7.8 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)

Angriffsvektor

Lokal

Erforderliche Berechtigungen

Normaler Benutzer

Auswirkung

Jeder lokale Benutzer kann Root-Rechte erlangen

Technische Grundlagen

DirtyFrag ist ein **deterministischer Logikfehler** (keine Race Condition) und keine herkömmliche Speicherverletzung. Er verknüpft Schwachstellen in zwei unabhängigen Kernel-Subsystemen:

1. xfrm-ESP (IPsec ESP Protocol)

Das ESP-Protokoll von IPsec weist bei der Entschlüsselung von Datenpaketen eine **Schreibschwachstelle im Page Cache** auf. Angreifer können durch speziell präparierte ESP-Pakete eine Entschlüsselungsoperation auf schreibgeschützten Speicherseiten auslösen.

2. RxRPC (AFS Distributed File System)

Die Implementierung des RxRPC-Protokolls enthält einen ähnlichen Fehler bei der Page-Cache-Verarbeitung, der einen zweiten Angriffspfad bietet.

Angriffskette

splice()/sendfile() Systemaufrufe

↓

Seiten einer schreibgeschützten Datei werden in den Socket-Puffer eingeschleust

↓

Kernel führt In-Place-Entschlüsselung im Page Cache durch

↓

Schreibgeschützte Dateien werden im Speicher modifiziert (z. B. /usr/bin/su oder /etc/passwd)

↓

Privilegienausweitung ohne Änderung der Festplattendaten

**Wesentliches Merkmal:** Da die Festplattendatei nicht verändert wird, können herkömmliche Dateiintegritätsprüfungen den Angriff nicht erkennen.

Betroffene Systeme

DirtyFrag betrifft alle Linux-Kernel seit Januar 2017 (Commit `cac2661c53f3`):

Distribution

Betroffene Versionen

Red Hat Enterprise Linux

7, 8, 9, 10

OpenShift Container Platform

4.x

AlmaLinux

8, 9, 10

CloudLinux

Alle Versionen

SUSE Linux Enterprise Server

Ubuntu

20.04 LTS, 22.04 LTS, 24.04 LTS

Debian

11, 12, 13

CentOS

7, 8, 9

QNAP NAS

Betroffene Geräte

PoC-Analyse

Der veröffentlichte PoC-Exploitcode demonstriert folgende Angriffsschritte:

**Vorbereitung**: Identifikation der Ziel-Datei (z. B. `/etc/passwd` oder `/usr/bin/su`)

**Auslösung**: Einschleusen der Page-Cache-Seiten in den ESP-Verarbeitungsablauf mittels `splice()`

**Ausnutzung**: Modifikation des Page-Cache-Inhalts durch die Nebenwirkungen der IPsec-ESP-Entschlüsselung

**Privilegienausweitung**: z. B. Entfernen des Root-Passworts in `/etc/passwd` oder Ersetzen der `su`-Binärdatei

Der PoC-Code wurde auf GitHub und anderen Plattformen verbreitet. Aktive Ausnutzung ist bereits in großem Umfang zu beobachten.

Temporäre Schutzmaßnahmen

Bis ein Kernel-Update eingespielt werden kann, sollten die betroffenen Kernel-Module deaktiviert werden:

# Betroffene Module deaktivieren

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf"

# Bereits geladene Module entfernen

sudo rmmod esp4 esp6 rxrpc 2>/dev/null

# Page Cache leeren

echo 3 | sudo tee /proc/sys/vm/drop_caches

Achtung: Dieser Eingriff deaktiviert IPsec-ESP-Tunnel und das AFS-Dateisystem. Bitte prüfen Sie die Auswirkungen auf Ihren Geschäftsbetrieb.

Patch-Status

Hersteller

Status

Referenz

Linux Kernel Upstream

✅ Behoben (Commit `f4c50a4034e6`)

[kernel.org](https://git.kernel.org)

Red Hat

✅ RHSA-2026:16328 veröffentlicht

[Red Hat Security](https://access.redhat.com/security/vulnerabilities/RHSB-2026-003)

AlmaLinux

✅ Patch verfügbar

[AlmaLinux Blog](https://almalinux.org/ja/blog/2026-05-07-dirty-frag/)

SUSE

✅ SUSE-SU-2026:1778-1 veröffentlicht

[SUSE Security](https://www.suse.com/support/security/)

CloudLinux

✅ Patch veröffentlicht

[CloudLinux Blog](https://blog.cloudlinux.com/dirty-frag-mitigation-and-kernel-update)

Ubuntu

🔄 In Überprüfung

[Ubuntu Security](https://ubuntu.com/security)

Debian

🔄 In Überprüfung

[Debian Security](https://www.debian.org/security/)

Empfohlene Sicherheitstools

Für die Erkennung und den Schutz vor solchen kritischen Schwachstellen empfehlen wir:

1. Schwachstellen-Scanner

Tool

Typ

Begründung

Preis

**Snyk**

Open-Source-Sicherheitsscan

Container- und Abhängigkeitsscans, DirtyFrag-Erkennung aktualisiert

Kostenlos - anpassbar

**Tenable Nessus**

Schwachstellen-Scanner

DirtyFrag-Erkennungs-Plugin (ID 313681) verfügbar

ab €3.300/Jahr

**Qualys VMDR**

Schwachstellen-Management

Echtzeit-Erkennung, skalierbar

Nach Vermögenswerten

**OpenVAS / Greenbone**

Open-Source-Scanner

Kostenlose Schwachstellenscans

Kostenlos

2. Laufzeit-Sicherheitsüberwachung

Tool

Typ

Empfehlung

**Falco**

Runtime Security

Erkennt anomale splice()-Systemaufrufe

**Wazuh**

EDR/XDR

Open-Source-Endpoint-Erkennung mit anpassbaren DirtyFrag-Regeln

**Sysdig**

Container Security

Erkennt anomale Kernel-Aufrufe in Container-Umgebungen

Fazit

DirtyFrag (CVE-2026-43284) ist eine der schwerwiegendsten Linux-Kernel-Lücken der letzten Jahre. Die deterministische Ausnutzung (ohne Race Condition) führt zu einer sehr hohen Erfolgswahrscheinlichkeit, und der Page-Cache-basierte Angriff umgeht herkömmliche Dateiintegritätsprüfungen.

Für Unternehmen und Privatanwender empfehlen wir folgende sofortige Maßnahmen:

**Notfall-Mitigation**: Falls kein Kernel-Update sofort möglich ist, deaktivieren Sie die Module esp4/esp6/rxrpc

**Kernel-Update**: Aktualisieren Sie so schnell wie möglich auf eine gepatchte Kernel-Version

**Schwachstellen-Scan**: Führen Sie einen vollständigen Scan mit den oben genannten Tools durch

**Dauerhafte Überwachung**: Implementieren Sie Runtime-Sicherheitsmonitoring zur Erkennung verdächtiger Aktivitäten