警惕！Dirty Frag 漏洞横扫主流 Linux 发行版！
一、漏洞概述
2026 年 5 月，Linux 内核再曝高危本地提权漏洞 ——Dirty Frag，与此前的 Copy Fail（CVE-2026-31431）漏洞类似，该漏洞可让普通本地用户无需特殊权限、无需复杂条件，一键获取系统 root 最高权限。
该漏洞属于逻辑缺陷类提权漏洞，非竞争条件漏洞，利用稳定可靠、门槛极低。更严峻的是，漏洞细节因披露禁令提前破裂而公开，截至 2026 年 5 月 8 日，Linux 主线内核及主流发行版均无官方补丁，全球大量 Linux 系统面临即时安全风险。
二、漏洞核心原理
Dirty Frag 漏洞本质是 Linux 内核IPSec 相关模块零拷贝操作的逻辑缺陷，由两个内核漏洞链式组合触发，根源可追溯至 2017 年引入的内核代码提交。
1. 漏洞构成组件
• xfrm-ESP Page Cache Write 漏洞（关联内核提交 cac2661c53f3）：IPSec ESP 协议处理模块中，零拷贝机制导致页缓存写入权限控制失效，可越权篡改内核页缓存数据。 • RxRPC Page-Cache Write 漏洞（关联内核提交 2dc334f1a63a）：RxRPC 网络协议模块存在同类页缓存写入缺陷，作为备选利用路径。
2. 利用流程（通俗拆解）
1. 本地低权限用户执行精简攻击代码（仅需基础编程能力）； 2. 攻击代码触发内核中 ESP/RxRPC 模块的零拷贝缺陷； 3. 越权写入并篡改内核页缓存中的关键系统文件（如 su、sudo 二进制文件）； 4. 直接获取 root 权限，全程无复杂绕过、无时间窗口依赖，利用成功率 100%。
3. 与同类漏洞对比
相较于历史上的 Dirty COW（脏牛）、Dirty Pipe、Copy Fail 等提权漏洞，Dirty Frag 的利用门槛更低、稳定性更强：
三、影响范围：主流 Linux 发行版 “全沦陷”
Dirty Frag 漏洞的影响范围覆盖 2017 年以来所有主流 Linux 发行版，经安全厂商实测确认，以下系统均受影响：
• Debian 系：Ubuntu 24.04/26.04、Debian 11/12； • RHEL 系：RHEL 8/9、CentOS Stream 9、Fedora 40/41、AlmaLinux、Rocky Linux； • 滚动发行版：Arch Linux、Manjaro； • 其他：OpenSUSE Leap 15、SUSE Linux Enterprise 15； • 特殊环境：微软 WSL2（Windows 子系统 Linux）实测可被提权。
核心风险场景
1. 服务器环境：企业 Linux 服务器、云主机、数据库服务器，普通用户 / 运维账号可提权接管系统； 2. 云原生环境：容器、K8s 集群因页缓存全局共享，容器内可触发漏洞逃逸至宿主机，威胁多租户架构安全； 3. 桌面环境：个人 Linux 桌面、开发机，恶意软件 / 本地用户可获取管理员权限； 4. 嵌入式系统：基于 Linux 的物联网设备、工业控制系统，易被攻击控制。
四、漏洞披露时间线（关键节点）
1. 2026 年 4 月 30 日：漏洞研究者向 Linux 内核团队报告 Dirty Frag 漏洞，双方约定补丁完成后再公开细节（embargo 保密协议）； 2. 2026 年 5 月初：第三方打破保密协议，漏洞细节及 PoC（概念验证代码）提前泄露至公开渠道； 3. 2026 年 5 月 8 日：主流安全媒体公开报道漏洞，此时 Linux 内核官方及各发行版厂商尚未发布任何补丁，漏洞进入 “零防护” 高危阶段。
五、应急防护方案（无补丁阶段必做）
因暂无官方补丁，禁用漏洞相关内核模块是当前最有效、最通用的缓解方案，对多数服务器业务无明显影响。
1. 临时禁用（重启后失效，应急首选）
执行以下命令，禁用 ESP4、ESP6、RxRPC 三个高危内核模块：
# 临时禁用模块
modprobe -r esp4
modprobe -r esp6
modprobe -r rxrpc
# 验证是否禁用成功（无输出则成功）
lsmod | grep -E "esp4|esp6|rxrpc"2. 永久禁用（重启后生效，长期防护）
1. 创建模块禁用配置文件：
echo -e "blacklist esp4\nblacklist esp6\nblacklist rxrpc" > /etc/modprobe.d/dirtyfrag-mitigate.conf
2. 更新内核镜像（避免模块自动加载）：
# Debian/Ubuntu系统
update-initramfs -u
# RHEL/CentOS/Fedora系统
dracut -f /boot/initramfs-$(uname -r).img $(uname -r)3. 重启系统生效：
reboot
3. 其他辅助防护措施
• 限制本地用户权限：删除不必要的本地账号，禁止普通用户登录服务器，最小化权限暴露面； • 监控异常行为：监控服务器中陌生用户、异常提权操作、关键系统文件（/bin/su、/usr/bin/sudo）篡改行为； • 隔离容器环境：严格限制容器内用户权限，避免容器内非授权用户执行高风险操作； • 关注官方补丁：实时跟踪 Linux 内核官方、各发行版安全公告，补丁发布后立即更新内核。
六、总结
Dirty Frag 漏洞的爆发，再次暴露了 Linux 内核 “零拷贝” 机制中权限控制的共性风险，其影响范围广、利用门槛低、暂无补丁的特点，使其成为近期 Linux 生态最严峻的安全威胁之一。
对于企业及个人用户，切勿抱有侥幸心理，在官方补丁发布前，必须第一时间执行内核模块禁用方案，同时强化权限管控与安全监控。后续需持续关注 Linux 内核及发行版厂商的安全公告，补丁发布后及时完成内核更新，彻底消除漏洞风险。