Fragnesia e ssh‑keysign‑pwn: duas novas falhas do kernel Linux que preocupam administradores

O bug está relacionado à mesma família de falhas da vulnerabilidade Dirty Frag, que também afetava partes da pilha de rede do Linux. Mesmo assim, Fragnesia é considerada uma falha separada e exige um patch próprio, mesmo em sistemas que já corrigiram Dirty Frag .

Pesquisadores demonstraram que o exploit pode:

• explorar uma falha lógica no caminho de rede ESP/XFRM
• modificar páginas de memória em cache associadas a arquivos somente leitura
• transformar essa corrupção em gravações arbitrárias que permitem escalada de privilégios

Quando o ataque funciona, o usuário local consegue acesso root completo, assumindo controle total da máquina . Um proof‑of‑concept público já foi divulgado e funcionou em sistemas reais, incluindo instalações do Ubuntu .

ssh‑keysign‑pwn (CVE‑2026‑46333): vazamento de segredos do sistema

A segunda vulnerabilidade, chamada ssh‑keysign‑pwn, afeta a lógica de controle de acesso do ptrace no kernel Linux. Diferentemente da Fragnesia, ela não entrega diretamente uma shell root — mas permite vazamento de informações sensíveis .

O problema está na forma como o kernel trata a propriedade chamada "dumpability" dentro da função ptrace_may_access(), usada para verificar se um processo pode inspecionar outro processo .

Em determinadas situações — especialmente quando um processo não possui uma estrutura completa de gerenciamento de memória — a verificação de permissões pode falhar, permitindo acesso que deveria exigir privilégios elevados.

Na prática, um atacante local pode explorar isso para acessar arquivos extremamente sensíveis, por exemplo:

• chaves privadas de host SSH em /etc/ssh/
• hashes de senha armazenados em /etc/shadow

Alguns proof‑of‑concept públicos exploram o utilitário ssh-keysign, um helper do OpenSSH que roda com setuid root. O programa abre arquivos de chave do sistema antes de reduzir seus privilégios — e o atacante tenta se conectar ao processo exatamente nesse momento para extrair descritores de arquivos ou dados da memória .

O bug já foi corrigido em vários kernels estáveis, incluindo 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 e 5.10.256 .

Por que essas falhas fazem parte de uma “onda” recente

Fragnesia e ssh‑keysign‑pwn apareceram em meio a uma sequência incomum de divulgações de vulnerabilidades no kernel Linux. Pesquisadores observaram que várias falhas — incluindo Dirty Frag e bugs relacionados a Copyfail — foram reportadas em um intervalo de aproximadamente duas semanas .

Essas vulnerabilidades compartilham algumas características importantes:

• afetam subsistemas centrais do kernel, como rede ou rastreamento de processos
• assumem que o invasor já possui execução de código local sem privilégios
• permitem escalar privilégios ou acessar dados críticos

Isso significa que, após um comprometimento inicial — por exemplo via aplicação web vulnerável, credenciais roubadas ou fuga de container — essas falhas podem ser usadas para obter controle completo do sistema.

Atualizações e medidas imediatas para administradores

Como os problemas estão no kernel, a mitigação exige instalar kernels atualizados e reiniciar o sistema para carregar a versão corrigida.

Passos recomendados:

• Atualizar o kernel imediatamente usando os pacotes de segurança do fornecedor da distribuição.
• Reiniciar o sistema após a atualização para garantir que o kernel corrigido esteja em execução.
• Confirmar a versão ativa do kernel com uname -r.

Algumas distribuições já liberaram atualizações contendo correções para ambos os CVEs; por exemplo, o AlmaLinux publicou kernels corrigidos distribuídos via atualização padrão do sistema .

Mitigações temporárias para Fragnesia

Se a atualização não puder ser aplicada imediatamente, é possível reduzir a superfície de ataque desativando módulos de rede vulneráveis.

Administradores podem descarregar ou bloquear módulos como:

• esp4
• esp6
• rxrpc

Isso diminui a exposição ao bug, embora possa desativar funcionalidades relacionadas a IPsec ou VPNs baseadas nesse subsistema .

Mitigações temporárias para ssh‑keysign‑pwn

Outra medida temporária envolve restringir o uso de ptrace. Alguns administradores aumentaram a configuração de segurança:

kernel.yama.ptrace_scope=2 ou 3

Essa configuração dificulta a exploração conhecida, mas pode quebrar ferramentas de depuração como strace e gdb, por isso deve ser tratada apenas como solução provisória até a aplicação do patch oficial .

Conclusão

As falhas Fragnesia e ssh‑keysign‑pwn mostram como vulnerabilidades pós‑comprometimento no kernel podem ser perigosas. Mesmo que um invasor comece com acesso limitado, esses bugs podem transformar esse acesso em controle total do sistema ou exposição de segredos críticos.

Para a maioria das organizações, a resposta correta é direta:

• aplicar atualizações do kernel que corrigem CVE‑2026‑46300 e CVE‑2026‑46333
• reiniciar os sistemas para ativar o kernel atualizado
• rotacionar segredos sensíveis, como chaves SSH, caso haja suspeita de comprometimento

Com proof‑of‑concepts públicos já disponíveis, adiar a aplicação de patches aumenta significativamente o risco de exploração real.