{"id":1316,"date":"2026-06-26T16:46:44","date_gmt":"2026-06-26T16:46:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/la-nueva-falla-del-kernel-de-linux-de-dirtyclone-permite-a-los-usuarios-locales-obtener-root-a-traves-de-paquetes-clonados-cyberdefensa-mx\/"},"modified":"2026-06-26T16:46:44","modified_gmt":"2026-06-26T16:46:44","slug":"la-nueva-falla-del-kernel-de-linux-de-dirtyclone-permite-a-los-usuarios-locales-obtener-root-a-traves-de-paquetes-clonados-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/la-nueva-falla-del-kernel-de-linux-de-dirtyclone-permite-a-los-usuarios-locales-obtener-root-a-traves-de-paquetes-clonados-cyberdefensa-mx\/","title":{"rendered":"La nueva falla del kernel de Linux de DirtyClone permite a los usuarios locales obtener root a trav\u00e9s de paquetes clonados \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

clon sucio <\/b>es una nueva escalada de privilegios del kernel de Linux en el Frag sucio <\/b>familia. JFrog Security Research public\u00f3 un tutorial funcional para detectar la falla el 25 de junio, la primera demostraci\u00f3n p\u00fablica de esta variante.<\/p>\n

Seguimiento como CVE-2026-43503<\/a> (CVSS 8.8), permite a un usuario local corromper la memoria respaldada por archivos a trav\u00e9s de un paquete de red clonado y obtener ra\u00edz. El parche lleg\u00f3 a la l\u00ednea principal el 21 de mayo; Si tu kernel no lo tiene, actualiza ahora.<\/p>\n

Cuando el kernel copia un paquete de red internamente, dos funciones auxiliares colocan una bandera de seguridad que marca la memoria del paquete como compartida con un archivo en el disco. Esa bandera que falta es toda la vulnerabilidad.<\/p>\n

El atacante carga un binario privilegiado como \/usr\/bin\/su en la memoria, conecta esas p\u00e1ginas de memoria a un paquete de red y obliga al kernel a clonarlo. El paquete clonado pasa a trav\u00e9s de un t\u00fanel IPsec que controla el atacante, y el paso de descifrado sobrescribe las comprobaciones de inicio de sesi\u00f3n del binario con bytes elegidos por el atacante. La pr\u00f3xima vez que alguien ejecute su, entregar\u00e1 root.<\/p>\n

El archivo en el disco nunca cambia. La modificaci\u00f3n se encuentra s\u00f3lo en la copia en memoria del kernel, por lo que las herramientas de integridad de archivos no la detectan, el ataque no deja rastro de auditor\u00eda y un reinicio restaura el binario original. El atacante ya tiene root cuando a alguien se le ocurre comprobarlo.<\/p>\n

La explotaci\u00f3n requiere CAP_NET_ADMIN <\/b>para configurar el t\u00fanel IPsec de bucle invertido. En Debian y Fedora, los espacios de nombres de usuarios sin privilegios est\u00e1n habilitados de forma predeterminada, por lo que un usuario local puede obtener esa capacidad dentro de un nuevo espacio de nombres.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Ubuntu 24.04 y versiones posteriores restringen la creaci\u00f3n de espacios de nombres a trav\u00e9s de AppArmor, bloqueando la ruta de explotaci\u00f3n predeterminada. La cach\u00e9 de p\u00e1gina se comparte a nivel de host, por lo que las modificaciones realizadas dentro de un espacio de nombres afectan a todos los procesos de la m\u00e1quina.<\/p>\n

Los sistemas expuestos son servidores multiinquilino, ejecutores de CI, hosts de contenedores y cl\u00fasteres de Kubernetes donde los usuarios que no son de confianza pueden crear espacios de nombres. JFrog confirm\u00f3 el exploit<\/a> en sistemas Debian, Ubuntu y Fedora con configuraciones de espacio de nombres predeterminadas.<\/p>\n

Cuarto de una serie<\/h2>\n
\"\"<\/a><\/div>\n

Esta es la cuarta escalada de privilegios reciente con el mismo modo de falla: la memoria respaldada por archivos se trata como paquetes de datos, luego una operaci\u00f3n de red local escribe donde deber\u00eda haberse copiado.<\/p>\n