„Dirty Frag“ Exploit ermöglicht Root-Zugriff auf gängigen Linux-Distributionen

Dirty Frag ermöglicht auf gängigen Linux-Distributionen eine lokale Es­kalation bis Root. Der deterministische Logikfehler kommt ohne Race Condition aus, ein PoC ist öffentlich. Für viele Distributionen liegen noch keine Patches vor.

Eine neue Linux-Sicherheitslücke, die derselben Klasse angehört wie die kürzlich entdeckte „Copy Fail“-Schwachstelle EUVD-2026-24639 / CVE-2026-31431 (CVSS-Score 7.8, EPSS-Score^* 3.91), ermöglicht Privilegienerweiterung auf Root-Ebene bei allen gängigen Linux-Distri­bu­tio­nen. Offengelegt und benannt hat der Sicherheitsforscher Hyunwoo Kim hat die Schwachstelle „Dirty Frag“ und auch einen Proof-of-Concept-Exploit (PoC) dazu veröffentlicht. Diese lokale Privilegienerweiterung bestehe bereits seit etwa neun Jahren im kryptografischen Algorith­mus-Interface „algif_aead“ des Linux-Kernels.

Local privilege escalation bis zu Root-Rechten

„Copy Fail“-Sicherheitslücke im Linux-Kernel wird in Angriffen ausgenutzt

Alle gängigen Distributionen betroffen

„Da es sich um einen deterministischen Logikfehler handelt, der nicht von einem bestimmten Zeitfenster abhängt, ist keine Race Condition erforderlich“, erklärt Kim auf GitHub. Ein de­terministischer Logikfehler ist ein Programmfehler, der aus einer falschen Entscheidung oder Abfolge im Code entsteht und bei gleichen Eingaben stets reproduzierbar denselben falschen Effekt erzeugt. Anders als zeit- oder nebenläufigkeitsabhängige Fehler, zum Beispiel Race Conditions, benötigt er kein exaktes Timing, er kann mit festen, wiederholbaren Schritten zuverlässig ausgelöst werden. „Der Kernel stürzt nicht ab, wenn der Exploit fehlschlägt, und die Erfolgsquote ist sehr hoch.“

Dirty Frag funktioniere, indem zwei separate Kernel-Schwachstellen – die „xfrm-ESP Page-Cache Write“-Schwachstelle und die „RxRPC Page-Cache Write“-Schwachstelle – miteinander verkettet werden, um geschützte Systemdateien im Arbeitsspeicher unbefugt zu modifizieren und so eine Privilegienerweiterung zu erreichen. Obwohl Dirty Frag derselben Klasse wie die Linux-Schwachstelle Copy Fail angehöre, nutze es das Fragment-Feld einer anderen Kernel-Datenstruktur aus.

Diese Kernel-Privilegienerweiterung betreffe eine Vielzahl von Linux-Distributionen, darunter Ubuntu, Red Hat Enterprise Linux, CentOS Stream, AlmaLinux, openSUSE, Tumbleweed und Fedora. Auf GitHub sind alle betroffenen Versionen aufgelistet:

• EUVD-2026-28535 / CVE-2026-43284 (CVSS-Score 8.8, EPSS-Score 0.01): Die Sicherheitslücke „xfrm-ESP Page-Cache Write“ betrifft den Zeitraum von cac2661c53f3 (17.01.2017) bis f4c50a4034e6 (05.05.2026).

• EUVD-2026-29037 / CVE-2026-43500 (CVSS-Score 7.8, EPSS-Score 0.01): Die RxRPC-Page-Cache-Write-Sicherheitslücke ist im Bereich von 2dc334f1a63a (08.06.2023) bis aa54b1d27fe0 (10.05.2026) betroffen.

• Ubuntu 24.04.4: 6.17.0-23-generic

• RHEL 10.1: 6.12.0-124.49.1.el10_1.x86_64

• openSUSE Tumbleweed: 7.0.2-1-default

• CentOS Stream 10: 6.12.0-224.el10.x86_64

• AlmaLinux 10: 6.12.0-124.52.3.el10_1.x86_64

• Fedora 44: 6.19.14-300.fc44.x86_64

Ein „erhebliches Risiko“

Bleepingcomputer zufolge wurden für die Distributionen noch keine Patches bereit­ge­stellt. Für die zuvor entdeckte Copy-Fail-Schwachstelle gibt es für die gängigen Distributoren Patches, doch bis alle Nutzer diese installiert haben, könnte es noch dauern, was das Risiko für Angriffe weiter erhöht. Zudem gilt sie mittlerweile als aktiv ausgenutzt, die CISA hat die Sicherheitslücke am 1. Mai 2026 in ihren KEV-Katalog aufgenommen. US-Be­hör­den hatten zwei Wochen, bis zum 15. Mai, Zeit, gepatchte Versionen zu installieren. „Diese Art von Schwachstelle ist ein häufiges Einfallstor für Cyberkriminelle und stellt ein erhebliches Risiko für Bundesbehörden dar“, warnte die US-amerikanische Cybersicherheitsbehörde.

Kim veröffentlichte die vollständige Dokumentation zu Dirty Frag sowie den PoC-Exploit im Einvernehmen mit den Betreuern der jeweiligen Distributionen. Dies geschah, nachdem am 7. Mai 2026 das Embargo für die öffentliche Offenlegung gebrochen wurde, als eine unabhängige, unbeteiligte dritte Partei den Exploit eigenständig publizierte. Laut Kim können Linux-Nutzer ihre Systeme vor Angriffen schützen, indem sie den folgenden Befehl verwenden, um die anfälligen Kernel-Module „esp4“, „esp6“ und „rxrpc“ zu entfernen:

Dabei sei es wichtig zu beachten, dass dies IPsec-VPNs sowie verteilte AFS-Netzwerkdateisysteme außer Kraft setzen werde.

EUVD-2026-24742 / CVE-2026-41651

Telekom entdeckt 12 Jahre alte Linux-Root-Schwachstelle

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50841271)