Dirty Frag Linux-Schwachstelle erhöht Post-Compromise-Risiko

Zusammenfassung

Dirty Frag bezieht sich auf Schwachstellen zur lokalen Privilegieneskalation unter Linux, die verfolgt werden als CVE-2026-43284 and CVE-2026-43500 die es einem Benutzer mit niedrigen Privilegien ermöglichen, Root-Zugriff zu erlangen, indem Kernel-Netzwerk- und Speicherfragmenthandhabungskomponenten missbraucht werden, einschließlich esp4, esp6, und rxrpc. Der Exploit wurde in realen Angriffen beobachtet, bei denen Angreifer zunächst einen ersten Zutritt über SSH-Zugriff, Web-Shells, Container-Ausbrüche oder kompromittierte Dienstkonten erlangen und dann die Schwachstelle mit einer ELF-Binärdatei auslösen, die den su Befehl aufruft. Sobald Root-Rechte erlangt sind, können Angreifer Sicherheitskontrollen deaktivieren, Protokolle verändern, lateral bewegen und langfristige Persistenz aufbauen. Der Bericht beschreibt eine begrenzte, aber aktive Kampagne, die diese Technik verwendet.

Untersuchung

Microsoft Defender-Forscher beobachteten eine Schritt-für-Schritt-Eindringkette, bei der ein externer Akteur zunächst SSH-Zugang erlangte, eine interaktive Shell öffnete und eine ELF-Binärdatei mit dem Namen ./update. Diese Binärdatei rief sofort su auf, um Privilegien zu eskalieren, woraufhin der Angreifer eine GLPI-LDAP-Authentifizierungsdatei modifizierte, GLPI-Verzeichnisse auflistete, PHP-Sitzungsdateien löschte und las und Sitzungsdaten exfiltrierte. Die Aktivität stimmte mit Microsoft Defender-Warnungen überein, die verdächtigen SUID- und SGID-Ausführungen und potenziellen Dirty Frag-Exploitation zugeordnet waren. Die Untersuchung dauert an, während Forscher weiterhin neue Telemetriedaten überprüfen.

Abschwächung

Sicherheitsupdates für CVE-2026-43284 wurden am 8. Mai 2026 veröffentlicht, während ein Fix für CVE-2026-43500 zum Zeitpunkt der Berichterstattung noch nicht verfügbar war. Empfohlene Minderungsmöglichkeiten sind das Deaktivieren der anfälligen Kernel-Module rxrpc, esp4, und esp6 durch modprobe Konfiguration, das Reduzieren unnötiger lokaler Shell-Zugriffe, das Härtung von containerisierten Workloads und das Löschen von Seiten-Caches nach vermuteten Exploit-Versuchen. Organisationen sollten auch den Kernel-Patch-Einsatz priorisieren und die Integrität kritischer Dateien nach einem vermuteten Kompromiss überprüfen.

Reaktion

Verteidiger sollten ungewöhnliche Verwendung des su Befehls, das Laden der esp4, esp6, oder rxrpc Module und die Ausführung unbekannter ELF-Binärdateien in privilegierten Kontexten erkennen. Das sofortige Anwenden der neuesten Kernel-Updates bleibt entscheidend. Weitere Kontrollen sollten die Durchsetzung des Prinzips der minimalen Privilegien für lokale Konten, ein striktes SSH-Schlüsselmanagement und die Überwachung der Dateiintegrität sensibler Dateien wie GLPI-LDAP-Authentifizierungskonfigurationen umfassen. Wenn ein Exploit vermutet wird, sollten Teams Caches leeren, die betroffenen Module entladen und eine forensische Analyse sowohl der Speicher- als auch der Dateisystemartefakte durchführen.

Ausführung der Simulation

Voraussetzung: Die Telemetrie- und Baseline-Pre-Flight-Überprüfung muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Gegnertechnik (T1548), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  1. Vorbereitung – Die bösartige ELF ablegen:
     Der Angreifer erstellt mit einem Konto mit niedrigen Privilegien eine ELF-Binärdatei mit dem Namen update die die Dirty Frag Schwachstelle ausnutzt. Im Labor simulieren wir dies mit einem einfachen „Hello World“ ELF.

     cat <<'EOF' > update.c
     #include <stdio.h>
     int main() { printf("Malicious update executedn"); return 0; }
     EOF
     gcc -o update update.c
     chmod +x update

  2. Ausführung der anfälligen Binärdatei:
     Der Angreifer führt die ELF aus dem aktuellen Verzeichnis aus und erzeugt ein execve Ereignis für ./update.

     ./update

  3. Privilegieneskalation – ruft su nach der ELF auf:
     Unmittelbar nachdem die bösartige ELF beendet ist, führt der Angreifer su aus, um eine Root-Shell zu erhalten, wobei er sich auf die Fehlkonfiguration des Systems stützt, die passwortlose Eskalation ermöglicht (typisch für anfällige Laborumgebungen).

     su -c "id"

     Die Befehlszeile su -c "id" enthält buchstäblich ./update als Teil derselben Sitzung (die Erkennungsregel prüft nur auf proc.cmdline|contains: './update' im gleichen su Prozess). Um die Regel zu erfüllen, binden wir den Pfad in die su Befehlszeile selbst ein:

     su -c "./update && id"

     Dies verbindet die Ausführung der bösartigen ELF und die Privilegieneskalationsanforderung in einem einzigen su Aufruf, der genau die Telemetrie erzeugt, die die Regel erwartet.

• Regressionstest-Skript:

  #!/usr/bin/env bash
  # ------------------------------------------------------------
  # Simuliert Dirty Frag / Copy Fail Privilegieneskalationskette
  # ------------------------------------------------------------
  
  set -euo pipefail
  
  # 1. Erstellen Sie eine Dummy-ELF-Binärdatei namens 'update'
  cat <<'EOF' > update.c
  #include <stdio.h>
  int main() { printf("Simulated malicious updaten"); return 0; }
  EOF
  gcc -o update update.c
  chmod +x update
  
  # 2. Führen Sie die ELF aus (erzeugt ein normales execve-Ereignis)
  echo "[*] Führen Sie die bösartige ELF ./update aus"
  ./update
  
  # 3. Triggern Sie die Erkennungsbedingung: su mit cmdline, die './update' enthält
  echo "[*] Aufruf von su zur Erhöhung der Privilegien bei Verweis auf './update'"
  # Hinweis: In vielen Laborumgebungen kann 'su' ohne Passwort konfiguriert sein.
  su -c "./update && id"
  
  # 4. Bereinigung (wird separat behandelt)

• Bereinigungskommandos:

  #!/usr/bin/env bash
  # ------------------------------------------------------------
  # Entfernen Sie Artefakte, die durch das Simulationsskript erstellt wurden
  # ------------------------------------------------------------
  
  set -euo pipefail
  
  echo "[*] Entfernen der simulierten ELF-Binärdatei und der Quelldatei"
  rm -f update update.c
  
  echo "[*] Bereinigung abgeschlossen"