آسیب‌پذیری Dirty Frag در لینوکس

یک آسیب پذیری جدید و خطرناک در کرنل لینوکس به نام Dirty Frag شناسایی گردید.این آسیب پذیری که با عنوان جانشین Copy Fail معرفی شده است.به یک مهاجم با دسترسی محدود (Local User) اجازه میدهد که دسترسی خود را تا سطح Root ارتقا دهد.طبق گفته کارشناسان این آسیب پذیری درمحیط‌های اشتراکی که چند کاربر از یک سرور استفاده می‌کنند، خطر بیشتری دارد.Dirty Frag با اجرای یک دستور ساده (single command) و بدون نیاز به شرایط رقابتی (race condition) قابل بهره‌برداری است.

این آسیب‌پذیری توسط پژوهشگر امنیتی هیونوو کیم کشف و افشا شده است. نکته نگران‌کننده این است که کد اکسپلویت آن روی تمام توزیع‌های مطرح لینوکس از جمله Ubuntu، Fedora، openSUSE و Red Hat Enterprise Linux (RHEL) با موفقیت اجرا می‌شود.شرکت امنیتی Aviatrix هشدار داده است که آسیب‌پذیری Dirty Frag یک تهدید فوری و جدی علیه سیستم‌های لینوکسی به شمار می‌رود، چراکه امکان ارتقای سطح دسترسی کاربران غیرمجاز به ریشه (Root) را فراهم می‌کند.

Dirty Frag چیست؟

بخش «Dirty» در نام این آسیب‌پذیری، اشاره به خانواده آسیب‌پذیری‌های مشابه مانند Dirty Pipe و Copy Fail دارد. بخش «Frag» نیز مخفف Fragment (قطعه) بوده و به فیلد frag در ساختمان داده sk_buff هسته لینوکس اشاره می‌کند که محل وقوع این نقص امنیتی است.

این آسیب‌پذیری در نتیجه ترکیب دو نقص مجزا با شناسه‌های CVE-2026-43284 و CVE-2026-43500 ایجاد شده است. هر دو نقص به مهاجم اجازه می‌دهند تا در کش صفحه (Page Cache) هسته عملیات نوشتن (Write) انجام دهد.

این نقض امنیتی به مهاجم اجازه می‌دهد تا فایل‌های سیستمی حساسی را که در حالت عادی غیرقابل ویرایش هستند، مانند /etc/passwd و /etc/shadow (حاوی اطلاعات کاربران و رمزهای عبور)، فایل‌های باینری SUID مانند sudo و passwd، و همچنین فایل‌های پیکربندی بحرانی سیستم را بازنویسی کند.

یکی دیگر از پیامدهای خطرناک این آسیب‌پذیری این است که می‌تواند از کانتینرهایی مانند (Docker یا Kubernetes Pod) فرار کند. اگر مهاجم بتواند با دسترسی کاربر عادی به یک کانتینر نفوذ کند، از طریق Dirty Frag می‌تواند از محیط ایزوله کانتینر خارج شده و کنترل کامل سرور را به دست آورد.

نحوه کسب دسترسی اولیه و اجرای اکسپلویت Dirty Frag

اکسپلویت Dirty Frag برای اجرا نیاز به دسترسی محلی (Local Access) روی سیستم هدف دارد. بر اساس مستندات فنی، فرآیند بهره‌برداری در دو مسیر مجزا انجام می‌شود.

مهاجم برنامه اکسپلویت کامپایل شده را اجرا می‌کند. این برنامه با سوءاستفاده از ضعف در مدیریت Fragmentهای بسته‌های شبکه و عملیات رمزگشایی درجا (in-place decryption) در هسته لینوکس، عملیات نوشتن غیرمجاز را روی کش صفحه (Page Cache) کرنل انجام می‌دهد. هدف این مرحله، بازنویسی تصویر درون حافظه‌ای یک فایل حساس سیستمی است(اضافه کردن یک کاربر جدید با دسترسی ریشه بهetc/passwd  ).

نکته مهم این است که این آسیب‌پذیری برخلاف بسیاری از اکسپلویت‌های مشابه، نیازی به Race Condition ندارد و نرخ موفقیت آن بسیار بالاست.

برای اینکه مهاجم بتواند حتی بعد از ریبوت شدن سرور یا پچ شدن آسیب پذیری همچنان دسترسی خودرا از دست ندهد اقدامات متعددی انجام می‌دهد: از جمله اضافه کردن کلید SSH عمومی خود به فایل authorized_keys کاربر ریشه برای ورود بدون رمز عبور، ایجاد یک کاربر جدید با دسترسی ریشه از طریق دستکاری مستقیم فایل /etc/passwd، نصب Rootkit برای پنهان کردن فرآیندها، فایل‌ها و اتصالات شبکه‌ای مخرب، و در نهایت تغییر در سرویس‌های سیستمی (Systemd) برای اجرای کد مخرب هنگام بوت شدن سیستم.

سیستم های در معرض خطر

طبق گزارش‌های منتشر شده، تقریباً تمام توزیع‌های اصلی لینوکس در برابر این آسیب‌پذیری آسیب‌پذیر هستند.لیست توزیع‌هایی که تاکنون آسیب‌پذیری آن‌ها تأیید شده:

• Ubuntu           
• Red Hat Enterprise Linux (RHEL)       
• Fedora
• CentOS Stream           
• AlmaLinux      
• openSUSE       
• Debian

راهکار مقابله با آسیب پذیری

توصیه می شود، سیستم عامل و کرنل لینوکس خود را به آخرین نسخه منتشر شده توسط توزیع کننده ارتقا دهید و همچنین توجه شود که پس از نصب Patch ریبوت کردن سرور الزامی می باشد.

آسیب‌پذیری RxRPC (CVE-2026-43500) تاکنون وصله‌ای دریافت نکرده است. کاربران لینوکس می‌توانند تا زمان در دسترس بودن وصله‌های رسمی، با استفاده از دستور زیر، ماژول‌های آسیب‌پذیر کرنل یعنی esp4، esp6 و rxrpc را مسدود کنند:

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

توجه: اعمال این دستور باعث اختلال در VPNهای مبتنی بر IPsec و سیستم فایل شبکه توزیع‌شده AFS خواهد شد.

Dirty Frag یکی از خطرناک‌ترین آسیب‌پذیری‌های افزایش سطح دسترسی در سال‌های اخیر است که طیف گسترده‌ای از توزیع‌های لینوکس را تحت تأثیر قرار می‌دهد. نرخ موفقیت بالا، عدم نیاز به شرایط رقابتی، و قابلیت فرار از کانتینرها، این تهدید را به یک بحران امنیتی تبدیل کرده است. با توجه به عدم وجود وصله کامل، تنها راهکار مؤثر در حال حاضر، مسدودسازی ماژول‌های آسیب‌پذیر و نظارت دقیق بر فعالیت‌های مشکوک در سیستم‌های بحرانی است. کاربران لینوکس باید تا انتشار وصله‌های رسمی، هوشیاری خود را حفظ کرده و اقدامات دفاعی لازم را به کار گیرند.