Fragnesia 與 ssh‑keysign‑pwn：兩個最新 Linux 核心漏洞解析

研究人員展示的攻擊流程大致包括：

• 利用 ESP/XFRM 網路路徑中的邏輯缺陷
• 操控與唯讀檔案相關的核心 page cache
• 將記憶體破壞轉換為任意寫入
• 最終達成 本地權限提升到 root

公開的 PoC（概念驗證程式）已經證實此漏洞可在真實環境中利用，例如部分 Ubuntu 系統 。

一旦成功利用，攻擊者將獲得完整系統控制權 。

ssh‑keysign‑pwn（CVE‑2026‑46333）：讀取 Root 才能看的機密

第二個漏洞 ssh‑keysign‑pwn 並不是直接提供 root shell，而是造成 資訊外洩（information disclosure）。它利用 Linux 核心 ptrace 存取控制邏輯中的錯誤，使一般使用者可以讀取本來只允許 root 存取的檔案 。

問題出在 ptrace_may_access() 函式對 「dumpability」屬性的處理。這個屬性原本是用來判斷程式是否允許產生 core dump，但在某些沒有記憶體管理結構（MM）的任務中使用時，存取檢查可能失效 。

實際攻擊中，研究人員將漏洞與 OpenSSH 的 setuid‑root 工具 ssh-keysign 結合：

• ssh-keysign 會先打開 SSH 主機私鑰
• 然後才降低權限
• 攻擊者在關鍵時間點附加到該程序
• 竊取已開啟的檔案描述符或記憶體內容

因此可能洩漏的敏感資料包括：

• /etc/ssh/ 中的 SSH 主機私鑰
• /etc/shadow 中的 密碼雜湊

這些資訊足以讓攻擊者在其他系統進行橫向移動或破解帳號 。

為什麼近期 Linux 核心漏洞特別多？

安全研究人員注意到，Fragnesia 與 ssh‑keysign‑pwn 並不是孤立事件。

在大約兩週內，Linux 核心接連曝光多個漏洞，例如：

• Dirty Frag
• Copyfail
• Fragnesia
• ssh‑keysign‑pwn

這些漏洞有幾個共同特徵：

• 多數存在於 核心關鍵子系統（如 networking 或 ptrace）
• 都假設攻擊者已取得 本地低權限存取
• 可讓攻擊者 進一步取得 root 或竊取機密資料

這種漏洞對企業環境特別危險。因為在實際攻擊中，入侵通常先透過：

• Web 應用漏洞
• 被盜帳號
• 容器逃逸

取得低權限帳號後，再利用 核心漏洞完成提權。

已發布修補的 Linux 核心版本

Linux 維護者已發布多個修補版本，包括：

• 7.0.8
• 6.18.31
• 6.12.89
• 6.6.139
• 6.1.173
• 5.15.207
• 5.10.256

這些版本包含 CVE‑2026‑46333 的修補，並在多數發行版中同步修正相關漏洞 。

系統管理員應立即採取的行動

由於問題位於 Linux 核心層級，唯一可靠的解決方法是更新核心並重新開機。

建議的基本步驟：

• 更新系統核心套件
• 重新開機載入新核心
• 使用 uname -r 確認正在執行的版本

部分發行版（例如 AlmaLinux）已在正常更新管道中提供修補版本，一次更新即可同時修復兩個 CVE 。

若懷疑系統曾被利用，還應：

• 重新產生 SSH host keys
• 重新啟動 SSH 服務
• 檢查 /etc/shadow 與敏感檔案的存取紀錄

暫時性緩解措施

若短時間內無法更新核心，可考慮降低攻擊面。

Fragnesia 的暫時緩解

如果系統不需要相關網路模組，可暫時停用：

• esp4
• esp6
• rxrpc

這會減少攻擊面，但可能影響 IPsec 或相關 VPN 功能 。

ssh‑keysign‑pwn 的暫時緩解

部分管理員透過提高 ptrace 限制來阻擋 PoC，例如：

kernel.yama.ptrace_scope=2 或 3

但這可能會影響調試工具，例如 strace 或 gdb，因此只適合作為短期措施 。

重點整理

Fragnesia 與 ssh‑keysign‑pwn 顯示一個重要現實：在入侵發生之後，核心漏洞常常是攻擊者拿到完整系統控制權的最後一步。

對大多數組織而言，正確的應對策略只有三個：

• 立即安裝修補核心
• 重新開機載入新版本
• 若有疑慮，重新產生 SSH 金鑰並檢查系統存取紀錄

由於相關 PoC 已公開，延遲更新將顯著增加被利用的風險。