A pochi giorni dall’attenzione riservata a DirtyFrag, la comunità Linux deve fare i conti con una nuova vulnerabilità di elevata gravità. I ricercatori di JFrog hanno infatti individuato DirtyClone, identificata come CVE-2026-43503, una falla che interessa il kernel Linux e può consentire a un utente locale di ottenere privilegi di amministratore.
La vulnerabilità ha ricevuto un punteggio CVSS di 8,8, classificandosi tra i problemi di sicurezza ad alta gravità. Non può essere sfruttata da remoto, ma richiede che un attaccante disponga già dell’accesso al sistema oppure possa eseguire codice con un account privo di privilegi amministrativi. Una volta soddisfatta questa condizione, l’attacco può portare all’acquisizione dei privilegi di root e, in alcuni scenari, anche all’uscita da container isolati.
Come funziona DirtyClone e quali sistemi sono interessati
DirtyClone appartiene alla stessa famiglia di vulnerabilità di DirtyFrag, ma sfrutta un differente percorso presente nel codice di rete del kernel. Questo dimostra che le correzioni precedenti non avevano eliminato completamente tutte le possibili vie di attacco.
Il problema riguarda la gestione dei frammenti dei buffer dei socket. Alcune funzioni interne del kernel non mantengono correttamente un indicatore che segnala quando un frammento di pacchetto utilizza memoria condivisa oppure associata a un file. In assenza di questa informazione, il kernel può considerare erroneamente quella memoria modificabile.
Un aggressore può così alterare i dati presenti nella cache delle pagine del kernel, modificando temporaneamente la copia in memoria di file di sola lettura appartenenti all’utente root senza intervenire direttamente sul contenuto salvato sul disco.
Il rischio dipende anche dalla configurazione del sistema. Sono particolarmente esposti gli ambienti nei quali sono abilitati gli unprivileged user namespaces, poiché in questi casi determinate capacità amministrative, come CAP_NET_ADMIN, possono risultare accessibili all’interno di uno spazio dei nomi utente.
Non tutti i sistemi Linux risultano vulnerabili nello stesso modo. La presenza di patch specifiche della distribuzione, la versione del kernel, le funzionalità abilitate e le tecniche di hardening adottate possono ridurre o eliminare il rischio.
È inoltre utile chiarire una possibile fonte di confusione: Ubuntu identifica questa vulnerabilità con il nome Fragnesia, mentre JFrog utilizza il nome DirtyClone per descrivere la variante dell’exploit. Entrambi fanno comunque riferimento alla stessa vulnerabilità, CVE-2026-43503.
Aggiornamenti disponibili e contromisure consigliate
Le principali distribuzioni Linux hanno già avviato la distribuzione delle correzioni.
Per Ubuntu, gli aggiornamenti del kernel generico sono disponibili nelle seguenti versioni:
- Ubuntu 26.04 LTS: 7.0.0-22.22
- Ubuntu 25.10: 6.17.0-35.35
- Ubuntu 24.04 LTS: 6.8.0-124.124
- Ubuntu 22.04 LTS: 5.15.0-181.191
Anche Debian ha pubblicato aggiornamenti per le versioni Bullseye, Bookworm e Trixie, mentre Red Hat monitora la vulnerabilità nell’ambito della famiglia di falle DirtyFrag che interessano il sottosistema di rete del kernel.
Per gli utenti che utilizzano kernel specifici per AWS, Azure, Google Cloud, Raspberry Pi, versioni Real-Time o OEM, è importante verificare la disponibilità degli aggiornamenti dedicati, poiché seguono un ciclo di rilascio differente rispetto al kernel generico.
La misura di protezione più efficace consiste nell’installare tempestivamente gli aggiornamenti distribuiti dalla propria distribuzione Linux ed eseguire il riavvio del sistema. Senza il riavvio continuerà infatti a essere utilizzato il vecchio kernel vulnerabile, rendendo inefficace l’aggiornamento appena installato.
Qualora non fosse possibile applicare immediatamente le patch, è possibile ridurre temporaneamente il rischio disabilitando gli unprivileged user namespaces oppure impedendo il caricamento dei moduli del kernel esp4, esp6 e rxrpc. Si tratta però di contromisure che possono compromettere servizi legittimi, come le VPN basate su IPsec o le applicazioni che utilizzano AFS/RxRPC, e devono quindi essere adottate solo dopo aver valutato attentamente l’impatto sull’infrastruttura.
Fonte: Linuxiac
