Kernel updates! [SOLVED]

[Ralph]

Kernel mal wieder ... Dirty Frag - ESP Page-Cache Write vulnerability ... es wird langsam gruselig
https://github.com/V4bel/dirtyfrag
https://nvd.nist.gov/vuln/detail/CVE-2026-43284

und nochmal der Hinweis auf CVE-2026-31431, für alle die es bisher versäumt haben ...

Keine Sorge, Pandora kommt schon noch raus aus der Büchse. Damit die Arbeit nicht ausgeht ...
CVE-2026-31431 ("Copy Fail") Toolkit
https://github.com/rootsecdev/cve_2026_ ... /README.md

[Blubby]

Kernel mal wieder ... Dirty Frag - ESP Page-Cache Write vulnerability ... es wird langsam gruselig

Ist das jetzt jenes Problem oder auch schon wieder was neues? Das eskaliert irgendwie in den letzten Tagen.


OOB heap write in io_uring zero-copy receive — from a small integer past a freelist to uid=0.

https://ze3tar.github.io/post-zcrx.html

[tab-kh]

Bloss gut, dass nur vertrauenswürdige Big-Tech Unternehmen die KI-Technologie zum Finden solcher Fehler bekommen. Die würden sicher nie auf dumme Gedanken kommen, außerdem schränkt das die IP-Bereiche etwas ein, die ich blocken muss.

[Ralph]

Bei Ubuntu wird derweil wohl nur temp. patched ... könnte also noch dauern mit Kernel Updates
https://ubuntu.com/blog/dirty-frag-linu ... -available
https://ubuntu.com/blog/copy-fail-vulne ... -available

Da gab es aktuell auch massive Attacken ... zumindest was Canonical betrifft (oder weiß der Teufel):
https://www.heise.de/en/news/Canonical- ... 79215.html

[Ralph]

und weiter gehts ...
CopyFail 3.0 - Fragnesia
https://tuxcare.com/de/blog/fragnesia-c ... ernel-lpe/
https://forum.manjaro.org/t/alert-copyf ... ity/187646
https://github.com/v12-security/pocs/tr ... /fragnesia

Derzeit ist nur der genannte Patch verfügbar ... der sollte dann vor einem Kernel Update wieder entfernt werden (incl. reboot).
https://security-tracker.debian.org/tra ... 2026-46300

Sieht für mich nicht mehr nach einem KI Zufallsfund aus ... sondern eher nach bereits fehlgeschlagenen Versuchen Löcher zu stopfen und da könnte es noch Fortsetzungen geben und Schäden.

[Ralph]

Fragnesia (CVE-2026-46300) wird bei Debian auf die gleiche Weise wie Dirty Frag abgsichert.
Für Debian gab es dazu bereits vor wenigen Tagen ein Kernel Update ... bei meinen (wenigen) Ubuntu Systemen habe ich bisher nichts finden können, möglicherweise sind die Module nicht unbedingt aktiv.
Also wäre ein Patch derzeit nur erforderlich falls die Module esp4|esp6|rxrpc weiterhin geladen werden.

Check:

Code: Select all

lsmod | grep -E '^(esp4|esp6|rxrpc)\b' || echo "esp4/esp6/rxrpc aktuell nicht geladen"
grep -qE '^(esp4|esp6|rxrpc) ' /proc/modules && echo "Module sind noch geladen" || echo "Module sind nicht geladen"

Für Debian einfach das Kernel Update starten und danach einen reboot durchführen.

NUR falls diese Module weiterhin geladen werden (aktiv) sind ist ein Patch nötig:

Code: Select all

# Mitigation: Module blockieren
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' | sudo tee /etc/modprobe.d/fragnesia.conf

# check
cat /etc/modprobe.d/fragnesia.conf

# Debian/Ubuntu: initramfs aktualisieren
sudo update-initramfs -u -k all

# Bereits geladene Module entladen, sofern nicht in Benutzung
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

# Page Cache leeren; kann kurzzeitig Performance beeinflussen
sudo sh -c 'echo 3 > /proc/sys/vm/drop_caches'

# Kontrolle
grep -qE '^(esp4|esp6|rxrpc) ' /proc/modules && echo "Module sind noch geladen" || echo "Module sind nicht geladen"

reboot

[Ralph]

A flaw in the Linux kernel's traffic-control subsystem can let a local unprivileged user gain root on affected systems.

CVE-2026-46331, nicknamed "pedit COW," is an out-of-bounds write in the packet-editing action (act_pedit) that corrupts shared page-cache memory. A public, working exploit appeared within a day of the CVE assignment on June 16. Red Hat rates the flaw as important.

The exploit never touches the file on disk. It poisons the cached copy of a setuid root binary (/bin/su) in memory, injects a small payload, and runs that altered image as root. File-integrity checks come back clean while a root shell is already open.

The exploit needs two things: act_pedit being loadable and unprivileged user namespaces being open, giving the attacker a namespace-local networking capability (CAP_NET_ADMIN) needed to trigger the bug.
https://thehackernews.com/2026/06/new-l ... ables.html