O Dirty Frag ultrapassou o Copy‑Fail: a segunda vulnerabilidade crítica do Linux ainda não foi corrigida um mês depois.

Vulnerabilidade crítica Dirty Frag: o que você precisa saber

Como funciona e quão perigosa é? Qualquer usuário local pode obter privilégios de root na maioria das distribuições Linux populares lançadas desde 2017 (Ubuntu, Arch, RHEL, Fedora e até mesmo WSL 2 no Windows 11). Estado dos patches Na data da publicação não há correções – nem em distribuições individuais, nem na branch principal do kernel Linux. Como se manifesta? O ataque não depende da configuração do sistema nem requer um horário exato de execução. Ao executar um pequeno programa, o usuário obtém privilégios de administrador.

Plataformas afetadas
- Ubuntu 24/26
- Arch Linux (última versão)
- RHEL, CentOS Stream
- Fedora, AlmaLinux, OpenSUSE e outras builds

Como se proteger A vulnerabilidade está ligada a três módulos do kernel responsáveis pela criptografia IPSec:

1. esp4 – IPv4‑ESP
2. esp6 – IPv6‑ESP
3. rxrpc – protocolo RPC sobre IPsec

Esses componentes são necessários apenas em redes VPN corporativas. Desativando-os, você pode fechar rapidamente a vulnerabilidade sem impacto perceptível em estações de trabalho e servidores comuns.

Histórico da divulgação – 30 de abril o time do kernel Linux recebeu informação sobre o problema.
- Uma terceira parte violou um acordo e publicou detalhes antes do prazo, o que, segundo Tom’s Hardware, levou ao uso ativo da vulnerabilidade por atacantes.

Como funciona o ataque Dirty Frag, assim como Copy Fail, utiliza o mecanismo de zero‑copy no kernel.

1. O atacante injeta um descritor de cache de página em uma chamada de sistema splice.
2. Isso permite gravar dados em arquivos aos quais um usuário comum não tem permissão de escrita.
3. Através dessas gravações, o usuário obtém privilégios de root.

O código da vulnerabilidade está nos módulos de criptografia IPSec. O primeiro erro – *xfrm-ESP Page Cache Write* – apareceu no commit `cac2661c53f3` (2017).
AppArmor no Ubuntu fecha essa primeira brecha, então o PoC demonstrativo usa adicionalmente a segunda – *RxRPC Page‑Cache Write* do commit `2dc334f1a63a`.

Conclusão: Dirty Frag representa uma ameaça séria para a maioria das distribuições Linux modernas. Até que patches oficiais sejam lançados, recomenda-se desativar os módulos esp4/esp6/rxrpc ou atualizar para uma versão do kernel onde a vulnerabilidade já esteja corrigida.