在零拷贝发送路径上，splice() 将攻击者只读的文件 page cache 页面直接注入到 struct sk_buff 的 frag 成员中，接收端内核代码对该 frag 执行原地（in-place）加解密操作，可以操纵 setuid 类型的文件的 page cache 在内存中被修改。

Dirty Frag 与 Dirty Pipe、Copy Fail 属于同一漏洞类，但操作目标不同：

1.Dirty Pipe：覆写 struct pipe_buffer。

2.Copy Fail：通过 AF_ALG 的 areq->tsgl 进行 scatterlist 链式写入。

3.Dirty Frag：覆写 struct sk_buff 的 frag 成员。

三者的本质相同 —— 利用 splice 零拷贝机制将 page cache 页面注入内核网络路径，利用内核对该页面的原地写入操作实现 page cache 污染。

注意：两个问题模块（ESP / RxRPC）是"或"的关系，任何一个模块都能被利用。

说明：Anolis OS 内核默认只以 module 形式内置了 XFRM-ESP 模块，未内置 RXRPC 模块，因此只有 esp4/esp6 受影响。