一场内核深处的"定点清除"，正悄然威胁全球数千万台Linux服务器。

漏洞速览：命中注定，弹无虚发

北京时间5月7日，一个代号为"Dirty Frag"的Linux内核本地提权漏洞因禁运协议提前破裂而被意外公开。截至发稿，尚无任何官方补丁和CVE编号。

这不是一个普通的漏洞。它是一颗安放在Linux内核深处的定时炸弹，而今倒计时已经归零。

• •漏洞名称：Dirty Frag
• •发现者：安全研究员Hyunwoo Kim
• •类型：本地提权（Local Privilege Escalation）
• •严重程度：极高（CVSS评分预计9.8级区间）
• •影响范围：2017年至今几乎所有主流Linux发行版
• •当前状态：0day，无官方补丁

一句话描述它的破坏力：任何能登录你系统的用户，哪怕是权限最低的访客，都可以在数秒内摇身一变成为root，彻底接管整台服务器。

致命优雅：为什么Dirty Frag如此不同？

如果说传统的内核漏洞利用像一场赌博，Dirty Frag就是一场外科手术——精准、冷酷、每击必中。

1. 确定性逻辑漏洞：告别"竞态条件"

绝大多数内核提权漏洞依赖"竞态条件"——攻击者需要在极短的时间窗口内触发特定操作，失败就可能导致内核崩溃，像在雷区中跳舞。

Dirty Frag不同。它是一个确定性逻辑漏洞，攻击路径不存在"概率"这个概念。不需要等待时机，不需要重复尝试，一击即中，且内核不会崩溃。从攻击者视角看，这简直是梦幻般的武器。

2. 攻击原理：四字破全局

漏洞的核心机制堪称精巧：

Linux内核在"零拷贝"（Zero-Copy）网络路径中处理数据时，会直接操作内存中的页缓存（Page Cache）。Dirty Frag利用这一机制，向内核内存页缓存中精准写入仅仅4个字节的恶意数据。

这4个字节不是什么随机数据——它精确地修改了内核中某个关键结构体，从而打开权限提升的大门。整个过程干净利落，像一把手术刀精准切入要害。

3. 漏洞链组合拳：双子星的完美配合

Dirty Frag真正的恐怖之处，在于它是由两个独立漏洞编织成的攻击链：

漏洞A：xfrm-ESP页缓存写入漏洞

这是主攻手，威力巨大。但它有一个软肋——利用它通常需要创建非特权用户命名空间。在一些系统上（如启用了AppArmor的Ubuntu），这一操作会被拦截。单独使用时，它的杀伤范围受限。

漏洞B：RxRPC页缓存写入漏洞

这是完美的"开锁匠"。这个漏洞不需要命名空间权限，正好绕过了漏洞A面临的限制。虽然很多发行版默认不加载RxRPC内核模块，但在Ubuntu等主流系统中，该模块会被自动加载——敞开的大门。

两者结合：攻击者先用RxRPC漏洞绕过防护限制，再用xfrm-ESP漏洞完成致命一击。这两个漏洞像是一对精心配对的双子，互相补足对方的短板，最终交织成一张覆盖几乎所有主流发行版的捕捉网。

Ubuntu、Debian、RHEL、CentOS、Fedora、Arch Linux……如果你在2017年后安装过系统，你的内核很可能就是易受攻击的那个。

漏洞复现

EXP:

https://github.com/V4bel/dirtyfrag

git clone https://github.com/V4bel/dirtyfrag.git && cd dirtyfrag && gcc -O0 -Wall -o exp exp.c -lutil && ./exp

真实威胁：它离你有多近？

Dirty Frag是"本地提权"漏洞——攻击者需要先拥有系统的低权限访问入口。这听起来像是一个限制条件，但在真实世界的攻击链中，这个条件太容易满足了：

• •共享主机环境：攻击者购买最便宜的虚拟主机计划，获得一个受限用户权限，然后提权至宿主机root，控制同服务器上所有其他客户的数据。
• •Web应用漏洞联动：通过Web应用的上传漏洞或远程代码执行漏洞获得一个低权限shell，再通过Dirty Frag完成提权，形成完整的远程攻击链。
• •内网渗透的跳板：已渗透进入内网的攻击者，在一个较低权限的立足点上使用Dirty Frag进行横向扩展。
• •容器逃逸：在某些配置下，从容器内部触发该漏洞可能实现容器逃逸，威胁宿主机安全。

这不是一个"理论上的风险"，而是一个在真实攻击中可以被完美利用的武器。

临危自救：补丁未至，防御先行

在官方补丁发布之前，我们能做什么？答案是：立即阻断漏洞模块的加载。

以下命令以root权限执行，可以立即关闭攻击路径：

# 创建阻止规则，永久禁用漏洞相关模块sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf"# 立即卸载已加载的威胁模块rmmod esp4 esp6 rxrpc 2>/dev/null; true

执行后，通过以下命令验证是否生效。若无输出，则表示模块已全部卸载：

lsmod | grep -E 'esp4|esp6|rxrpc'

关键提示：

• • 此操作会禁用IPsec ESP和RxRPC功能。如果你正在使用IPsec VPN，请先评估业务影响
• • 对于大多数通用服务器和桌面Linux用户，这些模块很少被使用，禁用通常是安全的
• • 如果此前可能已存在利用尝试，建议重启系统，或执行echo 3 > /proc/sys/vm/drop_caches清除可能已被污染的内存页缓存
• •密切关注发行版安全公告，第一时间安装正式补丁，这是唯一根本的解决之道

内核之困：复杂性才是最大的敌人

Dirty Frag的出现不是偶然。它是操作系统内核日益膨胀的复杂性与安全之间不可调和矛盾的又一次集中爆发。

Linux内核代码量已超过3000万行，网络子系统作为其中最复杂的组件之一，零拷贝、命名空间、各种协议栈交织成的是一张人类几乎无法完全理解的大网。在这张大网的某个角落，一个微小的逻辑缺陷就能击穿整个安全模型。

2016年的Dirty COW，2022年的Dirty Pipe，2024年的Dirty Fang，再到今天的Dirty Frag……每一个"Dirty"家族成员的诞生都在提醒我们：内核安全的本质，是与复杂性的永恒博弈。

而这一次，博弈的结果是一枚没有备用钥匙的定时炸弹。

行动指南

时间正在流逝。在攻击者行动之前，先行动。