Fragnesia 與 ssh-keysign‑pwn：最新 Linux Kernel 漏洞點樣令普通用戶變 Root？

Fragnesia（CVE‑2026‑46300）：透過 Networking Stack 攞 Root

Fragnesia 係一個 Linux kernel 本地權限提升（Local Privilege Escalation）漏洞，問題出喺 networking subsystem 入面嘅 XFRM ESP‑in‑TCP 路徑。

研究人員指出，攻擊者可以利用一個邏輯錯誤操控 kernel 嘅 page cache，從而修改本應該係唯讀（read‑only）檔案對應嘅記憶體頁面。

攻擊流程大致包括：

• 利用 ESP/XFRM networking 路徑嘅邏輯漏洞
• 操控 kernel page cache
• 對 read‑only 檔案記憶體頁面進行修改
• 將記憶體破壞轉化成任意寫入（arbitrary write）

一旦成功利用，普通本地用戶就可以 升級成 root，即係完全控制整個系統。

呢個漏洞同早前嘅 Dirty Frag 系列漏洞屬於同一類型，但係 唔係同一個 bug，就算系統已經修補 Dirty Frag，仍然需要另外打 Fragnesia 嘅 patch。

而且研究人員已經公開 PoC（Proof‑of‑Concept） exploit，並證實喺 Ubuntu 系統上可以成功利用。

ssh‑keysign‑pwn（CVE‑2026‑46333）：讀取 Root 機密

第二個漏洞 ssh‑keysign‑pwn 並唔係直接拎 root shell，而係屬於 資訊外洩漏洞（information disclosure）。

漏洞存在於 Linux kernel 嘅 ptrace 存取控制邏輯，特別係 ptrace_may_access() 裡面對 dumpability 屬性嘅處理。

簡單講：

• ptrace 本來用嚟控制一個程序可唔可以檢查另一個程序嘅記憶體
• kernel 對 dumpability 嘅判斷出現邏輯錯誤
• 某些情況下權限檢查會失效

結果就可能令普通用戶 讀到原本只限 root 嘅資料。

已公開嘅 PoC 主要針對 OpenSSH 嘅 setuid‑root helper：ssh-keysign。

呢個程式喺處理 host‑based authentication 時會：

1. 先打開 SSH host private key
2. 之後先降低權限

攻擊者如果喺呢個時間點 attach 到個程序，就可以偷到：

• /etc/ssh/ 裡面嘅 SSH host private keys
• /etc/shadow 裡面嘅 password hashes

Linux kernel 已經喺多個 stable 版本修補，例如：

• 7.0.8
• 6.18.31
• 6.12.89
• 6.6.139
• 6.1.173
• 5.15.207
• 5.10.256

以上版本都包含 CVE‑2026‑46333 嘅修正。

為何近期 Linux Kernel 漏洞突然密集？

Fragnesia 同 ssh‑keysign‑pwn 出現嘅時間，正好撞正一波 Linux kernel 安全漏洞集中披露。

安全研究人員指出，大約 兩星期內 出現多個相關漏洞，例如：

• Dirty Frag
• Copyfail
• Fragnesia
• ssh‑keysign‑pwn

佢哋有幾個共通特點：

• 都針對 核心 kernel 子系統（例如 networking 或 ptrace）
• 攻擊前提係 已有本地低權限存取
• 成功利用後可以 升級 root 或取得敏感資料

對企業同雲端環境嚟講，呢種漏洞特別危險。因為一旦攻擊者透過以下方式入侵：

• Web 應用程式漏洞
• container breakout
• 洩露帳號

之後再利用 kernel bug，就可以 快速攞到完整系統控制權。

系統管理員應立即做嘅修補措施

由於漏洞喺 kernel 層面，唯一完整解決方法係更新 kernel 並重新啟動系統。

建議立即做以下步驟：

• 更新 Linux kernel 到包含修補嘅版本
• 重新開機（reboot） 令新 kernel 生效
• 用 uname -r 確認目前運行嘅版本

部分發行版（例如 AlmaLinux）已經提供修補 kernel，只需要一般系統更新即可：

sudo dnf upgrade

之後再：

sudo reboot

臨時緩解方法（未能即時更新時）

如果短時間內未能升級 kernel，可以暫時減少攻擊面。

Fragnesia 臨時防護

如果系統唔需要相關 networking 功能，可以停用以下 modules：

• esp4
• esp6
• rxrpc

不過咁做可能會影響 IPsec 或 VPN 功能。

ssh‑keysign‑pwn 臨時防護

部分管理員會加強 ptrace 限制，例如設定：

kernel.yama.ptrace_scope=2

或者

kernel.yama.ptrace_scope=3

但要注意，呢個設定可能會令 strace、gdb 等 debugging 工具失效，只適合作為暫時措施。

重點總結

Fragnesia 同 ssh‑keysign‑pwn 再次證明 kernel 級漏洞喺入侵之後有幾危險。

即使攻擊者最初只係普通帳號，只要利用呢類漏洞，就可能：

• 直接取得 root 權限
• 或者偷走 SSH 私鑰、密碼雜湊等機密資料

對大部分組織嚟講，最正確嘅行動其實好直接：

• 安裝包含 CVE‑2026‑46300 同 CVE‑2026‑46333 修補嘅 kernel
• 重新啟動系統
• 如果懷疑系統曾被入侵，重新產生 SSH host keys

因為 PoC exploit 已經公開，拖延更新只會增加實際被攻擊嘅風險。