{"id":801,"date":"2026-05-08T08:06:35","date_gmt":"2026-05-08T08:06:35","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/08\/el-exploit-lpe-dirty-frag-del-kernel-de-linux-permite-el-acceso-raiz-en-las-principales-distribuciones-cyberdefensa-mx\/"},"modified":"2026-05-08T08:06:35","modified_gmt":"2026-05-08T08:06:35","slug":"el-exploit-lpe-dirty-frag-del-kernel-de-linux-permite-el-acceso-raiz-en-las-principales-distribuciones-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/08\/el-exploit-lpe-dirty-frag-del-kernel-de-linux-permite-el-acceso-raiz-en-las-principales-distribuciones-cyberdefensa-mx\/","title":{"rendered":"El exploit LPE Dirty Frag del kernel de Linux permite el acceso ra\u00edz en las principales distribuciones \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Han surgido detalles sobre una nueva vulnerabilidad de escalada de privilegios locales (LPE) sin parches que afecta al kernel de Linux.<\/p>\n

Apodado Fragmento sucio<\/a><\/strong>Ha sido descrito<\/a> como sucesor de Copy Fail (CVE-2026-31431, puntuaci\u00f3n CVSS: 7,8), una falla de LPE revelada recientemente que afecta al kernel de Linux y que desde entonces ha estado bajo explotaci\u00f3n activa en la naturaleza. La vulnerabilidad se inform\u00f3 a los mantenedores del kernel de Linux el 30 de abril de 2026.<\/p>\n

\u00abDirty Frag es una vulnerabilidad (clase) que logra privilegios de root en la mayor\u00eda de las distribuciones de Linux al encadenar la vulnerabilidad xfrm-ESP Page-Cache Write y la vulnerabilidad RxRPC Page-Cache Write\u00bb, dijo el investigador de seguridad Hyunwoo Kim (@v4bel) en un art\u00edculo.<\/p>\n

\u00abDirty Frag es un caso que extiende la clase de error a la que pertenecen Dirty Pipe y Copy Fail. Debido a que es un error de l\u00f3gica determinista que no depende de una ventana de tiempo, no se requiere ninguna condici\u00f3n de carrera, el n\u00facleo no entra en p\u00e1nico cuando falla el exploit y la tasa de \u00e9xito es muy alta\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La explotaci\u00f3n exitosa de la falla podr\u00eda permitir a un usuario local sin privilegios obtener acceso ra\u00edz elevado en la mayor\u00eda de las distribuciones de Linux, incluidas Ubuntu 24.04.4, RHEL 10.1, openSUSE Tumbleweed, CentOS Stream 10, AlmaLinux 10 y Fedora 44.<\/p>\n

Seg\u00fan el investigador, la vulnerabilidad xfrm-ESP Page-Cache Write se introdujo en un confirmaci\u00f3n del c\u00f3digo fuente<\/a> realizado en enero de 2017, mientras que la vulnerabilidad RxRPC Page-Cache Write fue introducido<\/a> en junio de 2023. Curiosamente, la misma confirmaci\u00f3n del 17 de enero de 2017 fue la causa principal de otro desbordamiento del b\u00fafer (CVE-2022-27666<\/a>puntuaci\u00f3n CVSS: 7,8) que afect\u00f3 a varias distribuciones de Linux.<\/p>\n

xfrm-ESP Page-Cache Write, que tiene su ra\u00edz en el subsistema IPSec (xfrm), proporciona a los atacantes una primitiva de almacenamiento de 4 bytes como Copy Fail y sobrescribe una peque\u00f1a cantidad en la cach\u00e9 de p\u00e1ginas del kernel.<\/p>\n

Sin embargo, el exploit requiere que el usuario sin privilegios cree un espacio de nombres, un paso que Ubuntu bloquea a trav\u00e9s de Armadura de aplicaciones<\/a>. En tal entorno, no se puede activar xfrm-ESP Page-Cache Write. Ah\u00ed es donde entra en juego el segundo exploit, RxRPC Page-Cache Write.<\/p>\n

\u00abRxRPC Page-Cache Write no requiere privilegios para crear un espacio de nombres, pero el m\u00f3dulo rxrpc.ko en s\u00ed no est\u00e1 incluido en la mayor\u00eda de las distribuciones\u00bb, explic\u00f3 Kim. \u00abPor ejemplo, la versi\u00f3n predeterminada de RHEL 10.1 no incluye rxrpc.ko. Sin embargo, en Ubuntu, el m\u00f3dulo rxrpc.ko se carga de forma predeterminada\u00bb.<\/p>\n

\u00abEncadenar las dos variantes hace que los puntos ciegos se cubran entre s\u00ed. En un entorno donde se permite la creaci\u00f3n de espacios de nombres de usuario, el exploit ESP se ejecuta primero. Por el contrario, en Ubuntu, donde la creaci\u00f3n de espacios de nombres de usuarios est\u00e1 bloqueada pero se construye rxrpc.ko, el exploit RxRPC funciona\u00bb.<\/p>\n

CloudLinx, en un consultivo<\/a> Por s\u00ed solo, dijo que la falla reside en la \u00abruta r\u00e1pida ESP-in-UDP MSG_SPLICE_PAGES sin COW y es accesible a trav\u00e9s de la interfaz netlink del usuario XFRM\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abEl error reside en las rutas r\u00e1pidas de descifrado in situ de esp4, esp6 y rxrpc: cuando un b\u00fafer de socket transporta fragmentos paginados que no son propiedad privada del kernel (por ejemplo, p\u00e1ginas de canalizaci\u00f3n adjuntas mediante splice(2)\/sendfile(2)\/MSG_SPLICE_PAGES), la ruta de recepci\u00f3n se descifra directamente sobre esas p\u00e1ginas respaldadas externamente, exponiendo o corrompiendo el texto sin formato al que un proceso sin privilegios todav\u00eda tiene una referencia\u00bb. AlmaLinux dicho<\/a>.<\/p>\n

A la urgencia se suma el lanzamiento de una prueba de concepto (PoC) funcional que puede explotarse para obtener root con un solo comando. Hasta que los parches est\u00e9n disponibles, se recomienda bloquear los m\u00f3dulos esp4, esp6 y rxrpc para que no se puedan cargar.<\/p>\n

\n

sudo sh -c \u00abprintf ‘install esp4 \/bin\/false\\ninstall esp6 \/bin\/false\\ninstall rxrpc \/bin\/false\\n’ > \/etc\/modprobe.d\/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>\/dev\/null; true\u00bb <\/p>\n<\/blockquote>\n

Vale la pena mencionar aqu\u00ed que Dirty Frag, a pesar de compartir algunas superposiciones con Copy Fail, puede ser explotado independientemente de si el m\u00f3dulo algif_aead del kernel de Linux est\u00e1 habilitado o no.<\/p>\n

\u00abTenga en cuenta que Dirty Frag se puede activar independientemente de si el m\u00f3dulo algif_aead est\u00e1 disponible\u00bb, dijo el investigador. \u00abEn otras palabras, incluso en sistemas donde se aplica la mitigaci\u00f3n p\u00fablicamente conocida de Copy Fail (lista negra algif_aead), su Linux sigue siendo vulnerable a Dirty Frag\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Han surgido detalles sobre una nueva vulnerabilidad de escalada de privilegios locales (LPE) sin parches que afecta al kernel de Linux. Apodado Fragmento sucioHa sido descrito como sucesor de Copy Fail (CVE-2026-31431, puntuaci\u00f3n CVSS: 7,8), una falla de LPE revelada recientemente que afecta al kernel de Linux y que desde entonces ha estado bajo explotaci\u00f3n […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[68,24,70,2362,2196,633,2363,2364,95,15,2361,265,1653,860],"class_list":["post-801","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-acceso","tag-cyberdefensa-mx","tag-del","tag-dirty","tag-distribuciones","tag-exploit","tag-frag","tag-kernel","tag-las","tag-linux","tag-lpe","tag-permite","tag-principales","tag-raiz"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/801","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=801"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/801\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=801"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=801"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=801"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}