Dirty Frag o novo zero day do Linux que permite escalar privilégios ao root com um único comando

Um novo zero-day no Linux, batizado como Dirty Frag, permite a um atacante local escalar privilégios até root na maioria das distribuições com uma única ordem, segundo o pesquisador Hyunwoo Kim, que publicou tanto a documentação como um PoC depois de quebrar o embargo. A exploração acorrente de duas falhas separadas do kernel (relacionados com xfrm-ESP e RxRPC) para sobrepor páginas de memória protegidas e modificar arquivos de sistema sem autorização; ao contrário de falhas anteriores como o Dirty Pipe ou o Copy Fail, este ataque aproveita um campo de fragmentação diferente na lógica do kernel, o que o torna novidade e perigoso.

A gravidade prática é alta porque Dirty Frag é uma falha de lógica determinista: não requer condições de carreira complexas, não provoca pânico do kernel ao falhar e os PoC reportam uma taxa de sucesso muito elevada. Embora o ataque exija acesso local, isso torna ambientes multiutilizados, máquinas com contas de desenvolvimento expostas, contêineres mal isolados e ambientes cloud compartilhados em objetivos de alto risco. Além disso, a publicação pública do exploit antes de adesivos amplifica a janela de exposição.

Até o momento não existe um CVE oficial para essa vulnerabilidade porque o embargo se quebrou; a informação original e os recursos do autor estão disponíveis no comunicado de Openwall e no repositório com o PoC: disclosure de Openwall e Repositório Dirty Frag no GitHub. Aqueles que gerem infra-estruturas devem seguir com atenção os avisos dos mantenedores da sua distribuição e estar preparados para aplicar adesivos de kernel logo que sejam publicados.

Como mitigação imediata os autores propõem bloquear e baixar os módulos vulneráveis (esp4, esp6 e rxrpc). O comando sugerido para criar uma regra de modprobe que impeça a sua carga e para remover os módulos carregados a quente é: sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true". Atenção: esta medida deshabilita IPsec e AFS; não deve ser aplicada sem avaliar o impacto em VPNs e serviços dependentes.

Enquanto se aguarda a correção oficial, devem tomar medidas adicionais de redução de risco: restringir o acesso local a sistemas críticos, revogar o acesso interativo desnecessário, reforçar políticas de isolamento de contêineres e máquinas virtuais, e monitorar sinais de escalada (processos inesperados com UID 0, modificações incomuns em /etc, cargas dinâmicas de módulos). As equipes de resposta devem preparar procedimentos para isolar e requisitar sistemas comprometidos em vez de tentar consertá-los in situ.

Também é importante lembrar a relação com incidentes recentes: os mantenedores ainda estão a instalar adesivos para Copy Fail e outras falhas de escalada de privilégios que surgiram nos últimos meses. A Agência de Segurança Cibernética dos EUA. Os EUA (CISA) estão a priorizar estas vulnerabilidades em seu catálogo de vulnerabilidades exploradas; as organizações federais receberam ordens para mitigar Copy Fail rapidamente. Veja a página oficial do CISA para seguimento e comandos aplicáveis: CISA KEV Catalog.

De uma perspectiva defensiva a médio prazo, convém reforçar os controlos de contenção: ativar e revisar políticas do SELinux/AppArmor, aplicar isolamento de namespaces e cgroups em workloads, usar mecanismos de controle de integridade de arquivos e EDR que detectem comportamentos de escalada, e preparar alertas para cargas ou manipulações de módulos do kernel. Planifique implementações de kernel atualizados em janelas controladas e tente restaurações completas para garantir uma remediação limpa em caso de compromisso.

Para administradores de nuvem e forneceria gerenciadas, a recomendação imediata é coordenar com os fornecedores de imagens e serviços para conhecer o impacto em infraestruturas compartilhadas e exigir testes de mitigação e adesivo. Dado o padrão de exploração local e a facilidade demonstrada pelo PoC, a janela de risco é concreta e curta: a acção rápida e coordenada reduz a probabilidade de compromissos maciços.

Finalmente, mantenha cópias fora de linha de elementos críticos de auditoria e chaves, rote credenciais de contas privilegiadas após atividades suspeitas e substitua as listas e canais oficiais de segurança da sua distribuição para receber as atualizações de adesivos disponíveis; a combinação de mitigações temporárias, detecção ativa e adesivo adequado é a única estratégia prática para neutralizar uma vulnerabilidade com as características de Dirty Frag.