CVE-2026-43284 Descifrado en el lugar sobre fragmentos compartidos de skb en ESP de xfrm del kernel de Linux

Qué es CVE-2026-43284

Las rutas de agregado de datagramas IPv4/IPv6 no marcaban con SKBFL_SHARED_FRAG los skb armados con páginas de pipe, por lo que ESP tomaba la ruta rápida sin copia y descifraba en el lugar datos no privados del skb. La corrección marca esos fragmentos y hace que ESP recurra a skb_cow_data() cuando la marca está presente.

Productos y versiones afectadas

• Linux

  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de a6cb440f274a22456ef3e86b457344f1678f38f9
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de ab8b995323e5237041472d07e5055f5f7dcdf15b
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de fe785bb3a8096dffcc4048a85cd0c83337eeecad
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de 5d55c7336f8032d434adcc5fab987ccc93a44aec
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de 8253aab4659ca16116b522203c2a6b18dccacea7
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de 50ed1e7873100f77abad20fd31c51029bc49cd03
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de b54edf1e9a3fd3491bdcb82a21f8d21315271e0d
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de 71a1d9d985d26716f74d21f18ee8cac821b06e97
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de 52646cbd00e765a6db9c3afe9535f26218276034
  • desde cac2661c53f35cbe651bef9b07026a5a05ab8ce0 hasta antes de f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4

• Linux

  • 4.11

Qué hacer

1. Verificá si usás Linux y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• SudoXDdX/DirtyFrag ↗DirtyFrag (CVE-2026-43284) pro Galaxy A57 5G (SM-A576B, A576BXXS6AZI2): gatilho libbase pro One UI 8.5 + dfroot.ko compilado exato pro 6.12.38-android16-5 do aparelhoPUBLICADO 14 OCT · 22:53
• tangdino222/DirtyFrag ↗DirtyFrag - ephemeral root via CVE-2026-43284 page-cache exploit (synced from mitschud/DirtyFrag)PUBLICADO 18 OCT · 22:43

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

In the Linux kernel, the following vulnerability has been resolved: xfrm: esp: avoid in-place decrypt on shared skb frags MSG_SPLICE_PAGES can attach pages from a pipe directly to an skb. TCP marks such skbs with SKBFL_SHARED_FRAG after skb_splice_from_iter(), so later paths that may modify packet data can first make a private copy. The IPv4/IPv6 datagram append paths did not set this flag when splicing pages into UDP skbs. That leaves an ESP-in-UDP packet made from shared pipe pages looking like an ordinary uncloned nonlinear skb. ESP input then takes the no-COW fast path for uncloned skbs without a frag_list and decrypts in place over data that is not owned privately by the skb. Mark IPv4/IPv6 datagram splice frags with SKBFL_SHARED_FRAG, matching TCP. Also make ESP input fall back to skb_cow_data() when the flag is present, so ESP does not decrypt externally backed frags in place. Private nonlinear skb frags still use the existing fast path. This intentionally does not change ESP output. In esp_output_head(), the path that appends the ESP trailer to existing skb tailroom without calling skb_cow_data() is not reachable for nonlinear skbs: skb_tailroom() returns zero when skb->data_len is nonzero, while ESP tailen is positive. Thus ESP output will either use the separate destination-frag path or fall back to skb_cow_data().

Referencias

• git.kernel.org/stable/c/a6cb440f274a22456ef3e86b457344f1678f38f9
• git.kernel.org/stable/c/ab8b995323e5237041472d07e5055f5f7dcdf15b
• git.kernel.org/stable/c/fe785bb3a8096dffcc4048a85cd0c83337eeecad
• git.kernel.org/stable/c/5d55c7336f8032d434adcc5fab987ccc93a44aec
• git.kernel.org/stable/c/8253aab4659ca16116b522203c2a6b18dccacea7
• git.kernel.org/stable/c/50ed1e7873100f77abad20fd31c51029bc49cd03
• git.kernel.org/stable/c/b54edf1e9a3fd3491bdcb82a21f8d21315271e0d
• git.kernel.org/stable/c/71a1d9d985d26716f74d21f18ee8cac821b06e97
• git.kernel.org/stable/c/52646cbd00e765a6db9c3afe9535f26218276034
• git.kernel.org/stable/c/f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
• www.openwall.com/lists/oss-security/2026/05/08/7
• www.openwall.com/lists/oss-security/2026/05/13/6
• www.openwall.com/lists/oss-security/2026/05/14/2
• www.openwall.com/lists/oss-security/2026/05/14/4
• www.vicarius.io/vsociety/posts/cve-2026-43284-detection-script-dirty-frag-linux-kernel-lo…
• www.vicarius.io/vsociety/posts/cve-2026-43284-mitigation-script-dirty-frag-linux-kernel-l…
• github.com/V4bel/dirtyfragEXPLOIT
• access.redhat.com/security/cve/CVE-2026-43284VDB-ENTRY · X_REFSOURCE_REDHAT
• bugzilla.redhat.com/show_bug.cgi?id=2467771ISSUE-TRACKING · X_REFSOURCE_REDHAT
• security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-43284.jsonX_SADP-CSAF-VEX

Historial de la alerta

1. 14 OCT · 22:53EXPLOIT PÚBLICO Se publicó el repositorio SudoXDdX/DirtyFrag.
2. 18 OCT · 22:43EXPLOIT PÚBLICO Se publicó el repositorio tangdino222/DirtyFrag.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.