Fragnesia: krytyczna luka w Linuxie Zwykły użytkownik może przejąć serwer

Administratorzy serwerów Linux w ostatnich tygodniach nie mogą narzekać na nudę. Po podatnościach takich jak Dirty Pipe czy Dirty Frag pojawiła się kolejna bardzo groźna luka — Fragnesia (CVE-2026-46300). Problem dotyczy jądra Linux i może pozwolić zwykłemu, nieuprzywilejowanemu użytkownikowi na uzyskanie pełnych uprawnień administratora systemu (root).

Jeśli zarządzasz serwerem współdzielonym, VPS-em z dostępem SSH albo środowiskiem developerskim z wieloma użytkownikami, ten temat powinien Cię zainteresować.

Czym jest Fragnesia?

Fragnesia to luka typu Local Privilege Escalation (LPE), czyli podatność pozwalająca użytkownikowi, który już ma możliwość uruchamiania kodu na serwerze, przejąć pełną kontrolę nad systemem.

Nie jest to atak zdalny wykonywany „z internetu” bez dostępu do hosta. Atakujący musi mieć już jakiś punkt zaczepienia, na przykład:

  • konto SSH,
  • shell hostingowy,
  • webshell po przejęciu strony WordPress,
  • dostęp do kontenera,
  • możliwość uruchomienia kodu przez aplikację webową.

I właśnie dlatego hosting współdzielony znajduje się w grupie najwyższego ryzyka.

Co dokładnie jest problemem?

Podatność znajduje się w podsystemie sieciowym jądra Linux, konkretnie w mechanizmach związanych z:

  • XFRM,
  • IPsec,
  • ESP-in-TCP.

Błąd logiczny powoduje, że kernel może błędnie traktować fragmenty pamięci jako bezpieczne do modyfikacji. W praktyce pozwala to atakującemu na zapis do page cache, czyli pamięci RAM przechowującej kopie plików systemowych.

Brzmi abstrakcyjnie? W praktyce oznacza to tyle: atakujący nie musi modyfikować pliku na dysku. Może podmienić jego zawartość tylko w pamięci operacyjnej, a system wykona złośliwy kod tak, jakby był legalnym plikiem systemowym.

Dlaczego to takie groźne?

Wiele exploitów kernelowych:

  • jest niestabilnych,
  • wymaga precyzyjnego timingu,
  • kończy się awarią kernela.

Fragnesia jest wyjątkowo niebezpieczna, ponieważ:

  • nie wymaga race condition,
  • exploit jest publicznie dostępny,
  • pozwala na deterministyczne uzyskanie uprawnień root,
  • może działać na wielu popularnych dystrybucjach Linux.

Przykładowy scenariusz ataku

Wyobraźmy sobie hosting współdzielony, gdzie klient ma dostęp shell:

ssh klient@serwer

Atakujący uruchamia exploit wykorzystujący podatny mechanizm kernela do manipulacji pamięcią.

Efekt? Systemowa binarka, na przykład:

/usr/bin/su

zostaje podmieniona wyłącznie w pamięci RAM.

Plik na dysku pozostaje nienaruszony.

Po uruchomieniu programu atakujący może uzyskać pełne uprawnienia administratora systemu.

Kto jest najbardziej zagrożony?

Najwyższe ryzyko dotyczy:

  • hostingu współdzielonego,
  • serwerów z dostępem SSH dla klientów,
  • środowisk developerskich,
  • CI/CD runners,
  • jump hostów,
  • systemów multi-user,
  • serwerów z jailed shell.

Niższe, ale nadal realne ryzyko dotyczy serwerów bez shell access, jeśli dojdzie do kompromitacji aplikacji webowej.

Czy Jailkit albo kontenery pomagają?

Jailkit ogranicza użytkownikowi dostęp do plików i komend, ale nie izoluje kernela. Jeśli exploit działa na poziomie kernela, izolacja jail przestaje mieć znaczenie.

Podobnie jest z kontenerami Docker czy LXC — standardowo współdzielą kernel hosta, więc podatność kernela nadal może być wykorzystana.

Jak sprawdzić ekspozycję?

Sprawdzenie wersji kernela:

uname -r

Sprawdzenie załadowanych modułów:

lsmod | egrep 'esp4|esp6|ipcomp|rxrpc|xfrm'

Sprawdzenie konfiguracji XFRM:

ip xfrm state

Tymczasowa mitigacja

Jeśli aktualizacja kernela nie jest możliwa od razu, można tymczasowo zablokować podatne moduły:

cat >/etc/modprobe.d/fragnesia.conf <<EOF install esp4 /bin/false install esp6 /bin/false install rxrpc /bin/false EOF

Następnie:

modprobe -r esp4 esp6 rxrpc

To rozwiązanie tymczasowe — nie zastępuje aktualizacji bezpieczeństwa.

Najważniejsze: aktualizacja kernela

Debian / Ubuntu:

apt update apt full-upgrade reboot

Po restarcie sprawdź:

uname -r

Fragnesia to jedna z tych podatności, których nie warto odkładać na później.

Jeśli na serwerze zwykły użytkownik może uruchamiać kod, ryzyko jest bardzo realne.

W środowisku hostingu współdzielonego oznacza to możliwość przejęcia całego serwera przez jednego klienta lub atakującego, który przejął aplikację webową.

Jeśli administrujesz serwerem Linux — sprawdź aktualizacje kernela już teraz.

Szukasz bezpiecznego hostingu z realną opieką techniczną?
W Prywatnym Informatyku dbamy nie tylko o wydajność serwerów, ale również o bieżące bezpieczeństwo systemów i szybkie reagowanie na nowe zagrożenia.
Skontaktuj się z nami.

Źródła i dodatkowe informacje

Jeśli chcesz samodzielnie zweryfikować informacje o podatności Fragnesia (CVE-2026-46300), poniżej znajdziesz oficjalne źródła i materiały techniczne:

Bezpieczeństwo
Zobacz inne posty