安全動態 on KnightLi的博客

ssh-keysign-pwn（CVE-2026-46333）解讀：Linux 本地資訊外洩、SSH 主機金鑰與 /etc/shadow 風險

Sun, 17 May 2026 09:29:03 +0800

ssh-keysign-pwn 是圍繞 Linux kernel __ptrace_may_access() 邏輯問題公開的一組利用路徑，CVE 編號為 CVE-2026-46333。它不是遠端未授權漏洞，也不是直接取得 root shell 的漏洞，但風險仍然很高：本地低權限使用者可能讀取本不該存取的 root 敏感檔案，例如 SSH 主機私鑰或 /etc/shadow。

對維運來說，重點不是重現 PoC，而是盡快判斷哪些機器受影響、升級核心、重新啟動生效，並在必要時輪換 SSH host keys 和重設密碼。

先說結論

這次漏洞的處置優先級很高，原因有四點：

觸發條件是本地低權限使用者，不需要 root。
已有公開 PoC，利用門檻明顯降低。
影響目標不是普通檔案，而可能是 SSH 主機私鑰和 /etc/shadow。
修復需要核心修補並重新啟動，不能只升級套件後不重啟。

如果你的伺服器有多使用者、本地 shell、共享主機、CI runner、容器宿主機、學生機房、跳板機或任何「不完全可信的本地使用者」，應該優先處理。

漏洞是什麼

Qualys 在 2026 年 5 月 15 日透過 oss-security 公開說明：他們此前向 security@kernel.org 回報了 Linux kernel __ptrace_may_access() 的邏輯問題，上游修復已由 Linus 合入。隨後社群出現公開利用程式，因此 Qualys 將資訊發到 oss-security。

Linux kernel CVE 團隊隨後為這個問題分配了 CVE-2026-46333。NVD 頁面顯示該 CVE 來源為 kernel.org，問題描述對應核心提交 ptrace: slightly saner 'get_dumpable()' logic。

簡單說，這個漏洞出現在程序退出路徑上。某些特權程序正在退出時，核心中與 ptrace 存取檢查相關的邏輯可能因目標任務已經沒有 mm，而繞過本應依賴的 dumpable 檢查。攻擊者可以在很窄的競態窗口中，取得正在退出的特權程序仍然開啟的檔案描述符。

這也是為什麼它被稱為 ssh-keysign-pwn：公開利用路徑之一會圍繞 ssh-keysign 讀取 SSH host private keys。

為什麼能讀到 SSH 主機私鑰和 /etc/shadow

這個問題本質上是本地資訊外洩。它利用的是特權程式在退出過程中「記憶體描述符已經脫離，但檔案描述符還沒關閉」的時間窗口。

AlmaLinux 的公告對風險說得比較清楚：如果特權程式在降權前開啟了敏感檔案，而攻擊者在退出窗口中成功取得對應檔案描述符，就可能讀取這些敏感檔案。

公開討論中常見的兩個目標是：

ssh-keysign：可能涉及 /etc/ssh/ssh_host_*_key 這類 SSH 主機私鑰。
chage：可能涉及 /etc/shadow。

SSH 主機私鑰外洩後，攻擊者可能偽裝成該主機，影響 SSH 主機身分信任。/etc/shadow 外洩後，攻擊者可以離線破解密碼雜湊，進一步擴大影響。

這也是為什麼它雖然不是「直接 root shell」，但仍然應按高優先級處理。

影響範圍怎麼判斷

從上游角度看，這是 Linux kernel 的漏洞。NVD 記錄顯示該問題在 2026 年 5 月 15 日進入 NVD 資料集，當時 NVD 還沒有給出 CVSS 評分。

發行版層面的狀態要以各自公告為準：

AlmaLinux 8、9、10 都發布了處理說明，並在 2026 年 5 月 16 日更新稱 patched kernels 已進入生產倉庫。
Debian security tracker 已列出 bullseye、bookworm、trixie、sid 等分支的 vulnerable/fixed 狀態和固定版本。
其他發行版需要分別查看 Ubuntu、Red Hat、SUSE、Arch、Alpine 等官方安全頁面或更新源。

不要只按核心大版本判斷是否安全。發行版會 backport 修復，同一個上游版本號在不同發行版中可能代表不同修補狀態。

應該優先處理哪些機器

建議按風險排序處理：

多使用者伺服器和共享主機。
有普通 shell 帳號的跳板機、教學機、開發機。
CI runner、建置機、託管平台宿主機。
容器宿主機和虛擬化宿主機，尤其是不完全可信 workload 共存的環境。
公開服務機器，雖然漏洞需要本地存取，但一旦 Web/RCE/弱密碼帶來低權限落點，風險會疊加。

純單使用者桌面環境風險相對低一些，但仍建議隨系統更新修復。原因很簡單：本地低權限程式碼執行在桌面上並不少見，瀏覽器、開發工具、腳本和第三方軟體都可能成為落點。

修復建議

首選方案是安裝發行版提供的修復核心並重新啟動。

不同發行版命令不同，原則相同：

更新軟體源中繼資料。
安裝包含 CVE-2026-46333 修復的 kernel 套件。
重新啟動進入新核心。
用 uname -r 和發行版安全公告核對目前執行中的核心是否已修復。

AlmaLinux 公告中提到，生產倉庫已推出修復核心，使用者可以執行常規 dnf upgrade 並重啟。Debian tracker 也列出了多個分支的 fixed versions。

需要注意：只安裝新 kernel 套件但不重啟，舊核心仍在執行，漏洞仍然存在。

臨時緩解：收緊 ptrace_scope

如果暫時不能重啟，可以先收緊 Yama 的 ptrace_scope。

Qualys 在 oss-security 後續回覆中確認，將 /proc/sys/kernel/yama/ptrace_scope 設定為 2（admin-only attach）或 3（no attach）可以阻止他們已知的公開利用路徑。但他們也說明，理論上可能存在其他利用方式，所以這只是緩解，不是修復。

臨時設定可以用：

`1`	`sudo sysctl -w kernel.yama.ptrace_scope=3`

持久化可以寫入 sysctl 設定：

`1`	`echo 'kernel.yama.ptrace_scope = 3' \| sudo tee /etc/sysctl.d/99-ssh-keysign-pwn.conf`

ptrace_scope=3 會停用 ptrace attach，可能影響 gdb、strace -p 等除錯場景。如果生產環境需要除錯，可以評估使用 2。無論選哪一個，都應盡快安排核心升級和重啟。

是否需要輪換 SSH 主機金鑰

如果機器在漏洞公開前後存在以下情況，建議保守處理：

有不可信本地使用者。
有共享主機或容器/CI 多租戶環境。
有 Web 漏洞、弱密碼、供應鏈腳本等可能給攻擊者本地落點。
日誌中出現可疑本地程序、異常除錯行為或公開 PoC 檔案。
機器在修復前暴露了較長時間。

保守處置包括：

修復並重啟後輪換 SSH host keys。
更新已知主機指紋管理系統。
通知依賴該主機指紋的自動化系統。
檢查 SSH 連線告警，避免誤把合法指紋變化當成中間人攻擊，或反過來忽略真實風險。

如果懷疑 /etc/shadow 已外洩，還應評估密碼重設、禁止弱密碼、檢查是否存在可離線破解的舊雜湊。

需要監控什麼

這類漏洞利用窗口很短，傳統日誌未必能完整記錄。但仍可以關注：

普通使用者目錄下是否出現 ssh-keysign-pwn、chage_pwn 或類似 PoC 檔案。
可疑編譯行為，例如短時間內編譯陌生 C 程式。
異常存取 /etc/ssh/ssh_host_*_key、/etc/shadow 的跡象。
異常 pidfd_getfd、ptrace、除錯器相關行為。
SSH 主機指紋被外部系統回報異常。

這些訊號不能證明一定被利用，也不能證明沒有被利用。真正的優先事項仍然是補丁、重啟、憑證輪換和風險隔離。

常見誤區

第一個誤區：它不是 OpenSSH 遠端漏洞。名字裡有 ssh-keysign，但根因在 Linux kernel 的 ptrace 存取檢查邏輯，不是 sshd 遠端認證流程。

第二個誤區：沒有本地使用者就完全沒風險。漏洞確實需要本地執行條件，但很多真實攻擊鏈會先透過 Web 服務、CI、腳本、弱密碼或容器逃逸前置步驟取得低權限本地落點。

第三個誤區：設定 ptrace_scope 就夠了。它是臨時緩解，不是根本修復。核心更新和重啟仍然需要做。

第四個誤區：只要沒被拿 root 就沒事。SSH 主機私鑰和 /etc/shadow 的外洩本身就足以導致後續橫向移動、主機偽裝和離線破解風險。

處置清單

建議按這個順序執行：

盤點受影響 Linux 主機，特別是多使用者和共享環境。
查看發行版官方安全公告，確認 fixed kernel 版本。
安裝修復核心並重啟。
暫時不能重啟的機器，先設定 kernel.yama.ptrace_scope=2 或 3。
修復後核對正在執行的核心版本。
對高風險機器輪換 SSH host keys。
如果懷疑 /etc/shadow 外洩，評估密碼重設和帳號稽核。
檢查是否存在公開 PoC、異常編譯和可疑本地除錯行為。

總結

ssh-keysign-pwn（CVE-2026-46333）是一個本地資訊外洩漏洞，根因在 Linux kernel __ptrace_may_access() 相關邏輯。它不需要遠端直接打進來，也不直接給 root shell，但可以讓低權限本地使用者讀取高價值敏感檔案，這使它在多使用者、共享主機、CI 和容器宿主環境中非常值得警惕。

最可靠的修復是升級到發行版提供的修復核心並重啟。ptrace_scope=2/3 可以作為臨時緩解，但不能替代補丁。已經暴露在風險窗口中的關鍵主機，還應考慮 SSH 主機金鑰輪換和密碼風險評估。

參考連結：

CVE-2026-42945 怎麼排查？Nginx Rift 漏洞觸發條件、版本檢查與升級建議

Fri, 15 May 2026 17:55:42 +0800

CVE-2026-42945 是 NGINX Open Source 和 NGINX Plus 中的一個安全漏洞，外界也把它稱為 Nginx Rift。它出現在 ngx_http_rewrite_module，漏洞類型是 heap-based buffer overflow。

這類新聞很容易被寫成「潛伏 18 年」「不用密碼遠端控制」「三成伺服器中招」。這些說法有傳播性，但看補丁和 NVD 描述時，最好把風險拆開看：它確實嚴重，也確實不需要登入帳號；但並不是所有 Nginx 實例都會自動被接管，觸發需要特定 rewrite 設定和請求條件。

先看官方描述

NVD 對 CVE-2026-42945 的描述可以概括為：

影響 NGINX Plus 和 NGINX Open Source。
漏洞位於 ngx_http_rewrite_module。
當 rewrite 指令後面跟著 rewrite、if 或 set 指令，並且使用未命名的 PCRE 捕獲組，例如 $1、$2，同時替換字串裡包含問號 ? 時，可能觸發問題。
未認證攻擊者可以傳送構造請求觸發漏洞。
結果可能是 NGINX worker 程序發生 heap buffer overflow 並重啟。
如果系統關閉了 ASLR，存在程式碼執行可能。

F5 作為 CNA 給出的評分是：

CVSS v4.0：9.2，Critical。
CVSS v3.1：8.1，High。
CWE：CWE-122 Heap-based Buffer Overflow。

所以，這不是普通的「設定寫錯導致 404」問題，而是 Nginx 官方安全修復範圍內的記憶體安全漏洞。

哪些說法需要降溫

第一，「不用密碼」基本可以理解為未認證攻擊。也就是說，攻擊者不需要登入 Nginx 後台，不需要拿到 SSH，也不需要應用系統帳號。但這不等於任何公網 Nginx 都能被隨手接管。

第二，「直接遠端控制」要看條件。官方描述裡更穩妥的說法是：漏洞可導致 worker 程序重啟；在 ASLR 關閉的系統上，程式碼執行是可能結果。對啟用了 ASLR、發行版編譯加固完整、執行權限受限的環境，風險路徑會更複雜。

第三，「30% 伺服器中招」不能簡單等同於「所有 Nginx 市占率都是漏洞暴露面」。真正暴露要同時看版本、是否啟用受影響模組、是否存在特定 rewrite 設定、發行版是否已經回補補丁，以及 Nginx 執行環境的加固狀態。

更準確的判斷方式是：只要你在生產環境執行 Nginx，就應該盡快檢查；但不要只按標題裡的比例判斷自己是否中招。

受影響範圍怎麼判斷

從 nginx.org 發布資訊看，2026 年 5 月 13 日發布的 nginx-1.30.1 stable 和 nginx-1.31.0 mainline 包含多項安全修復，其中包括 ngx_http_rewrite_module 的 buffer overflow，也就是 CVE-2026-42945。

如果你使用官方 Nginx 原始碼或官方套件，可以優先關注：

NGINX Open Source stable：升級到 1.30.1 或之後版本。
NGINX Open Source mainline：升級到 1.31.0 或之後版本。
NGINX Plus：查看 F5 對應分支的修復版本。

如果你使用 Debian、Ubuntu、RHEL、AlmaLinux、Rocky Linux、Alpine、容器映像、Plesk、控制面板、Ingress Controller 或雲廠商託管元件，不要只看 nginx -v 裡的上游版本號。很多發行版會把安全補丁 backport 到舊版本套件裡，版本號看起來舊，但補丁可能已經合入。

一分鐘判斷是否需要緊急處理

可以先按下面幾個問題快速分級：

這台 Nginx 是否直接暴露在公網，或者位於 API Gateway、反向代理、負載均衡、Ingress 入口層？
是否使用官方 Nginx 套件、原始碼編譯套件、第三方面板、容器映像，且還沒有確認 CVE-2026-42945 修復狀態？
設定裡是否存在複雜 rewrite 規則，尤其是連續 rewrite、if、set，以及 $1、$2 這類未命名捕獲組？
是否存在把請求路徑、查詢參數或使用者可控輸入帶入 rewrite 目標的場景？
系統加固是否較弱，例如 ASLR 被關閉、worker 權限過高、容器權限過寬？

如果前兩項命中，並且 rewrite 設定還沒有排查，建議按高優先級處理。公網入口、共享環境、Kubernetes Ingress、邊緣代理和承載登入/API 流量的 Nginx，應該優先升級或替換到確認修復的套件。

Debian / Ubuntu / RHEL / Alpine 如何確認修復

發行版使用者不要只看 nginx -v。Debian、Ubuntu、RHEL、AlmaLinux、Rocky Linux、Alpine 這類系統經常把安全補丁回補到穩定分支，表面版本號可能仍然低於 nginx.org 的 1.30.1 或 1.31.0。

Debian / Ubuntu 可以優先看安全公告、套件 changelog 和可升級列表：

nginx -v
nginx -V
apt list --upgradable | grep nginx
apt changelog nginx | grep -i "CVE-2026-42945"

RHEL / AlmaLinux / Rocky Linux 可以看安全更新和套件變更記錄：

1
2

yum updateinfo list security | grep -i nginx
rpm -q --changelog nginx | grep -i "CVE-2026-42945"

Alpine 可以檢查目前套件版本和安全分支更新：

1
2

apk info -v nginx
apk version -v nginx

如果套件管理器、發行版安全公告或廠商 advisory 明確寫明已修復 CVE-2026-42945，即使上游版本號看起來不新，也可以按「已回補修復」處理。反過來，如果只是版本號較高但來源不明，仍然要確認建置日期和補丁來源。

容器映像與 Ingress Controller 怎麼查

容器環境要檢查映像裡的 Nginx，而不是只看宿主機。先確認映像實際內建版本：

1
2

docker run --rm your-nginx-image nginx -v
docker run --rm your-nginx-image nginx -V

還要看基礎映像是否更新過。如果映像基於 Debian、Ubuntu、Alpine 或發行版套件建置，判斷方式應回到對應發行版的安全公告和套件 changelog。只重啟舊映像沒有意義，映像本身需要重新建置或替換。

Kubernetes Ingress 需要同時確認三件事：

Ingress Controller 專案是否發布了針對 CVE-2026-42945 的 advisory 或修復版本。
目前叢集執行的 controller 映像 digest 是否已經更新，而不是只改了 tag。
controller 內建 Nginx 版本、建置參數和模板設定是否仍然包含高風險 rewrite 規則。

可以先看執行中的映像：

1
2

kubectl -n ingress-nginx get pods -o wide
kubectl -n ingress-nginx describe pod <pod-name> | grep -i image

如果使用雲廠商託管 Ingress 或網關，還要查對應雲服務公告。託管元件通常不是使用者自己 apt upgrade 能解決的，需要等待廠商修復或切換到已修復版本。

rewrite 設定重點排查哪些寫法

這個漏洞和 rewrite 設定有關，排查時可以先搜尋 Nginx 設定：

1
2

grep -R "rewrite" /etc/nginx -n
grep -R "\\$[0-9]" /etc/nginx -n

重點關注類似模式：

`1`	`rewrite ^/old/(.*)$ /new/$1? permanent;`

這裡的 $1、$2 這類未命名捕獲組，以及替換目標中的 ?，是官方描述裡的關鍵條件之一。排查時尤其關注下面幾類寫法：

一個 rewrite 後面緊跟另一個 rewrite、if 或 set。
正則裡使用 (.*)、(.+) 這類寬泛捕獲，並在目標裡用 $1、$2。
rewrite 目標裡帶 ?，用於拼接或丟棄查詢參數。
rewrite 輸入來自公網路徑、Host、URI、參數或上游可控值。
面板、網關、Ingress 註解或模板自動生成的 rewrite 規則。

如果短時間內無法升級，可以先做臨時緩解：

減少複雜 rewrite 規則。
把未命名捕獲組改成更清晰的命名捕獲。
避免在替換字串裡拼接不必要的 ?。
對高風險入口加 WAF 或反向代理規則。
確認系統啟用了 ASLR。
降低 Nginx worker 執行權限，確認 systemd sandbox、SELinux/AppArmor 等加固狀態。

這些只是緩解，不是替代補丁。

修復優先級

建議按暴露面排序：

公網入口 Nginx。
反向代理、API Gateway、邊緣網關。
多租戶環境裡的 Nginx。
Kubernetes Ingress Controller。
Plesk、面板工具、雲市場映像等自帶 Nginx 的元件。
內網但承載關鍵業務的 Nginx。

升級後如何驗證：nginx -t、reload、worker 狀態

更新後不要只看套件管理器提示成功，還要確認設定、程序和實際二進位都已經切換。先驗證設定：

`1`	`nginx -t`

確認沒有錯誤後再平滑載入：

`1`	`systemctl reload nginx`

如果套件升級涉及二進位替換，建議確認舊 worker 已退出：

`1`	`ps aux \| grep nginx`

也可以查看主程序啟動時間和二進位路徑，確認執行中的服務不是舊程序繼續駐留。必要時安排維護窗口重啟服務，避免舊 worker 或舊容器繼續處理請求。

容器和 Ingress 環境還要確認新映像已經真正滾動完成：

1
2

kubectl -n ingress-nginx rollout status deployment/<deployment-name>
kubectl -n ingress-nginx get pods -o wide

驗證重點不是「命令執行過」，而是「線上流量已經由包含修復的 Nginx 程序承載」。

不要忽略同批次 Nginx 修復

nginx.org 在同一天發布的 1.30.1 和 1.31.0 不只修復了 CVE-2026-42945。發布資訊還提到 HTTP/2 request injection、SCGI/uWSGI buffer overread、charset module buffer overread、HTTP/3 address spoofing、OCSP resolver use-after-free 等問題。

這意味著生產環境不應該只針對單個 CVE 做臨時規則，而是應該把 Nginx 這一輪安全更新當成一次整體升級來處理。

小結

CVE-2026-42945 的關鍵點不是「所有 Nginx 都會被秒控」，而是：一個長期存在於 rewrite 模組裡的記憶體安全漏洞，在特定設定下可被未認證請求觸發，最直接後果是 worker 崩潰重啟；在 ASLR 關閉等較弱環境下，程式碼執行風險更高。

對維運來說，處理順序很簡單：

確認 Nginx 來源和版本。
查看發行版、F5、nginx.org 或雲廠商公告。
盡快升級到包含修復的版本或發行版安全套件。
排查複雜 rewrite 設定，尤其是 $1、$2 和 ? 組合。
確認 ASLR、權限隔離和服務重載狀態。

標題可以嚇人，修復要冷靜。先確認暴露面，再升級，再回頭清理高風險 rewrite 規則。

參考連結

Dirty Frag、Copy Fail 與 Fragnesia：近期三個 Linux 本地提權漏洞對比

Fri, 15 May 2026 13:24:04 +0800

最近 Linux 核心連續出現幾個高關注度的本地提權漏洞：Dirty Frag、Copy Fail 和 Fragnesia。它們看起來像一組「同類事件」，因為最終效果都很接近：低權限本地使用者可能把權限提升到 root。

但從維運處置角度看，不能把它們混成一個漏洞。三者的入口模組、觸發路徑、緩解方式和補丁節奏都不同。更準確的理解是：它們暴露了 Linux 核心在「頁面快取、splice、socket buffer、加密路徑」這些複雜交界處的共同風險。

本文只做風險和處置分析，不展開可復現利用步驟。

三個漏洞分別是什麼

Dirty Frag：CVE-2026-43284

Dirty Frag 主要指向 Linux 核心網路路徑裡的頁面快取寫入問題。公開資料中，它通常和兩個問題一起討論：xfrm-ESP 側的 CVE-2026-43284，以及 rxrpc 側的 CVE-2026-43500。

其中 CVE-2026-43284 與 ESP 處理共享 skb fragment 時的原地解密有關。問題的關鍵不是攻擊者直接修改磁碟檔案，而是讓核心在不該寫的共享頁面上發生寫入，進而影響頁面快取裡的檔案內容。

維運上最需要記住的是：Dirty Frag 觸達的是 esp4、esp6、rxrpc 這一組核心模組和網路子系統路徑。它和 IPsec、ESP、RxRPC 相關，臨時緩解也會圍繞這些模組展開。

Copy Fail：CVE-2026-31431

Copy Fail 是 Theori / Xint Code 披露的 Linux 核心本地提權漏洞。它的入口不在 IPsec 網路路徑，而在核心使用者態加密 API 的 algif_aead / AF_ALG 相關路徑。

公開說明中提到，它源於 2017 年引入的一處原地最佳化：某些情況下，核心沒有按預期複製資料，而是把頁面快取頁放進可寫目標路徑裡。攻擊者可以借助 AF_ALG 與 splice() 組合，對頁面快取支援的頁面做小範圍可控寫入。

它的風險點在於可利用性很強，而且影響面跨多個主流發行版。和 Dirty Frag 不同，Copy Fail 的臨時緩解重點是限制或禁用 algif_aead，以及在容器和 CI 環境中限制 AF_ALG socket。

Fragnesia：CVE-2026-46300

Fragnesia 是 V12 Security 披露的另一個 Linux 核心本地提權漏洞，和 Dirty Frag 屬於相近攻擊面。它不是 Dirty Frag 的同一個 bug，但仍然圍繞 IPsec ESP / rxrpc 相關模組，以及頁面快取寫入效果展開。

AlmaLinux 的說明把它定位為同一程式碼區域裡的第三個本地 root 問題。其關鍵點在於 skb_try_coalesce() 在合併 socket buffer 片段時沒有正確保留共享 fragment 標記，導致後續 XFRM ESP-in-TCP 接收路徑可能在外部頁面快取頁上做原地解密。

也就是說，Fragnesia 和 Dirty Frag 更接近：兩者都繞著 esp4、esp6、rxrpc、skb fragment、ESP 解密路徑轉。它們的臨時緩解也高度重疊。

相同點：為什麼都危險

這三個漏洞的共同點不是「程式碼位置完全一樣」，而是攻擊結果和風險模型非常像。

第一，它們都是本地提權。攻擊者通常需要先在機器上取得普通使用者程式碼執行能力，然後再把權限提升到 root。對單使用者桌面來說，它不是遠端一鍵入侵；但對多使用者伺服器、CI runner、容器宿主機、共享開發機和暴露 SSH 的 VPS 來說，低權限入口並不罕見。

第二，它們都和頁面快取寫入有關。攻擊者不一定永久改寫磁碟檔案，而是影響記憶體中的頁面快取副本。這會讓傳統檔案完整性檢查變得不夠可靠：磁碟 hash 可能正常，但執行路徑讀到的頁面快取內容已經被污染。

第三，它們都偏向確定性邏輯漏洞，而不是傳統意義上很吃時序的競爭條件。公開資料多次強調這類漏洞不依賴贏得 race condition。對防守方來說，這意味著「利用成功率」不能按老經驗低估。

第四，它們都放大了容器和自動化執行環境的風險。容器內的低權限程式碼、CI 任務、建置腳本、第三方外掛，一旦能觸達宿主核心相關介面，就可能把漏洞從「本地問題」變成「平台問題」。

不同點：不要用一個補丁思路套全部

三者最大的區別在入口模組。

Copy Fail 的關鍵入口是 algif_aead / AF_ALG，屬於核心使用者態加密 API。它的臨時防護重點是禁用或限制 algif_aead，以及用 seccomp 阻斷容器裡建立 AF_ALG socket。

Dirty Frag 的關鍵入口在 xfrm-ESP 和 rxrpc。它更接近網路協定和 socket buffer 處理路徑，臨時防護通常會考慮禁用 esp4、esp6、rxrpc。但這可能影響 IPsec、VPN、隧道或相關網路能力。

Fragnesia 的入口也在 Dirty Frag 相近區域，但具體問題落在 skb_try_coalesce() 沒有保留共享 fragment 標記。它更像是 Dirty Frag 風險面裡的另一個分支，而不是 Copy Fail 的加密 API 問題。

所以，不能因為已經處理了 Copy Fail，就認為 Dirty Frag 和 Fragnesia 也被覆蓋；也不能因為禁用了 esp4 / esp6，就認為 Copy Fail 自動消失。它們需要分別確認補丁狀態和緩解策略。

影響範圍該怎麼判斷

判斷這類漏洞是否受影響，不要只看發行版名字，也不要只看核心大版本號。發行版會回合補丁，雲廠商會維護自己的核心分支，企業發行版還可能有額外 backport。

更穩妥的順序是：

先看發行版安全公告和核心套件 changelog。
再核對 CVE 是否已被目前核心套件修復。
對雲主機、容器宿主機和 CI 節點，額外關注雲廠商或平台方公告。
對臨時緩解，確認業務是否依賴對應模組。
完成核心升級後安排重啟，確保實際執行核心已經切換。

這一步最容易踩坑的是「套件已經更新，但機器還沒重啟」。核心漏洞不是普通使用者態服務升級，安裝新套件之後，舊核心仍可能繼續執行。

維運優先級

這些漏洞最該優先處理的機器，不是「所有 Linux 平均排隊」，而是低權限程式碼最容易出現的地方。

優先級最高的環境包括：

多使用者登入伺服器
CI / CD runner
建置機和製品打包機
容器宿主機和 Kubernetes 節點
共享開發機
暴露 SSH 的雲主機和 VPS
執行第三方腳本、外掛、任務佇列的平台
有 Web 漏洞、弱密碼或歷史入侵痕跡的機器

相對封閉、單使用者、沒有外部程式碼執行入口的機器，風險仍然存在，但處置順序可以排在後面。

臨時緩解應該怎麼理解

臨時緩解不是補丁替代品。它的價值是幫你在無法立刻重啟或等待發行版補丁時降低暴露面。

對 Copy Fail，重點關注 algif_aead 和 AF_ALG。如果業務沒有使用核心 AF_ALG 加密介面，可以評估禁用相關模組；容器環境則應優先檢查 seccomp 策略，避免不受信任工作負載隨意建立對應 socket。

對 Dirty Frag 和 Fragnesia，重點關注 esp4、esp6、rxrpc。如果系統不依賴 IPsec ESP、相關 VPN、隧道或 RxRPC，可以評估臨時禁用。但生產環境不要盲目執行，因為這些模組可能影響真實網路業務。

最終仍然要回到核心更新。臨時緩解只能減少攻擊面，不能證明系統已經徹底安全。

這三個漏洞說明了什麼

這組漏洞真正值得警惕的地方，不只是 CVE 數量，而是它們都集中在核心高複雜度路徑：零拷貝、splice、socket buffer、頁面快取、加密介面、協定堆疊最佳化。

這些路徑的共同特點是效能收益很大，但所有權邊界也更難維護。一個 fragment 是否共享、一個頁面是否還能原地寫、一個最佳化是否真的只是減少複製，都會變成安全邊界的一部分。

對安全團隊和維運團隊來說，結論很實際：

本地提權漏洞要按「已有低權限入口會被放大」處理。
容器不是核心漏洞的天然隔離邊界。
檔案完整性檢查不能只看磁碟內容。
CI、建置機、外掛平台要當成高優先級資產。
核心補丁需要驗證「已安裝」和「已執行」兩個狀態。

小結

Dirty Frag、Copy Fail 和 Fragnesia 都是近期 Linux 本地提權風險裡的高優先級事件，但它們不是同一個漏洞的三個名字。

Copy Fail 走的是 algif_aead / AF_ALG 加密介面路徑；Dirty Frag 走的是 xfrm-ESP 與 rxrpc 相關路徑；Fragnesia 則在 Dirty Frag 相近攻擊面上，透過 skb fragment 標記處理問題再次觸發頁面快取寫入風險。

處置上，最穩妥的做法是：按發行版公告升級核心並重啟；對無法立即升級的系統，分別按漏洞入口評估臨時禁用模組或收緊 seccomp；對多租戶、CI、容器宿主機和共享開發環境優先處理。

參考資料：

Theori Copy Fail 說明：https://github.com/theori-io/copy-fail-CVE-2026-31431
CERT-EU Copy Fail 安全公告：https://cert.europa.eu/publications/security-advisories/2026-005/
AlmaLinux Dirty Frag 說明：https://almalinux.org/blog/2026-05-07-dirty-frag/
AlmaLinux Fragnesia 說明：https://almalinux.org/blog/2026-05-13-fragnesia-cve-2026-46300/
V12 Security Fragnesia PoC 說明：https://github.com/v12-security/pocs/tree/main/fragnesia

Fragnesia (CVE-2026-46300)：Linux 核心本地提權漏洞影響與緩解

Fri, 15 May 2026 13:18:01 +0800

Linux 核心最近又曝出一個和 Dirty Frag 同一類攻擊面相關的本地提權漏洞：Fragnesia (CVE-2026-46300)。

根據 V12 Security 的披露，Fragnesia 是一個 Linux 本地提權漏洞。攻擊者不需要在宿主機上已有高權限，只要能在本地執行程式碼，就可能借助核心 XFRM ESP-in-TCP 子系統中的邏輯缺陷，把唯讀檔案的頁面快取內容按位元組改寫，最終觸發 root shell。

原始資料：

V12 Security PoC 說明：https://github.com/v12-security/pocs/blob/main/fragnesia/README.md

本文不展開可復現利用步驟，只整理維運側需要知道的風險點和處置思路。

它和 Dirty Frag 是什麼關係

V12 Security 在說明中把 Fragnesia 歸到 Dirty Frag 漏洞類別裡。它不是 Dirty Frag 本身的同一個 bug，而是同一攻擊面上的另一個問題：Linux 核心的 XFRM ESP-in-TCP。

XFRM 是 Linux 核心裡處理 IPsec 的框架。ESP-in-TCP 則和透過 TCP 承載 ESP 加密流量有關。Fragnesia 的問題出在共享頁面片段和 socket buffer 合併過程中的邏輯處理：某些情況下，核心會「忘記」某個 fragment 仍然是共享狀態，進而留下可控寫入空間。

這類問題讓人聯想到 Dirty Pipe / Dirty Frag 這一類頁面快取寫入漏洞。共同點不是具體程式碼完全相同，而是都把攻擊效果落到了頁面快取裡的唯讀檔案副本上。

風險為什麼高

Fragnesia 的危險之處有三個。

第一，它是本地提權。只要攻擊者已經能在系統上執行普通使用者程式碼，就可能把權限提升到 root。對多使用者伺服器、容器宿主機、CI runner、共享開發機、VPS 和暴露 Shell 的環境來說，這類漏洞比普通桌面更敏感。

第二，它不依賴傳統競爭條件。V12 的說明中提到，該漏洞透過構造 ESP-in-TCP 處理流程，讓核心把加密流處理到已經 splice 進 socket buffer 的檔案頁面上，進而按位元組影響頁面快取內容。這意味著風險不只是「理論上可能」，而是研究團隊已經驗證了穩定利用路徑。

第三，它改的是頁面快取，不是磁碟檔案。公開說明裡的示例目標是 /usr/bin/su。利用成功後，磁碟上的檔案並不會被永久改寫，改動存在於記憶體頁面快取中。很多只檢查磁碟檔案 hash 或完整性的巡檢流程，可能看不出異常。

這也是它對管理員麻煩的地方：系統看起來檔案沒變，但一旦執行被污染頁面快取裡的目標二進位檔，就可能觸發提權效果。

已知影響範圍

V12 Security 的說明稱，受 Dirty Frag 影響且沒有套用 2026 年 5 月 13 日相關修補的核心，也會受 Fragnesia 影響。公開驗證環境包括 Ubuntu 22.04、Ubuntu 24.04，以及 6.8.0-111-generic 這類核心版本。

這裡要注意兩點。

第一，不要只看發行版大版本。Ubuntu 22.04 / 24.04 是否受影響，最終取決於核心修補狀態，而不是發行版名字。

第二，不要只看有沒有預設 AppArmor 限制。Ubuntu 對非特權使用者命名空間的 AppArmor 限制可以提高門檻，但披露方明確把它視為額外繞過問題，不是漏洞本體的根治方式。

真正可靠的判斷方式，仍然是查看發行版安全公告和核心套件更新。

臨時緩解思路

如果系統暫時不能立刻升級核心，可以先評估是否依賴相關協定模組。

V12 給出的緩解方向與 Dirty Frag 相同：如果系統不依賴 IPsec ESP 或 RxRPC，可以禁用相關模組，例如 esp4、esp6、rxrpc。這類操作會影響相關網路能力，生產環境不要盲目執行，應先確認業務是否使用 IPsec、VPN、隧道或相關核心功能。

更穩妥的處置順序是：

確認發行版是否已經發布核心安全更新。
優先安裝核心修補並安排重啟。
如果無法立即升級，再評估臨時禁用相關模組。
對多使用者系統和 CI / 建置環境優先處理。
檢查是否開放非必要本地帳號、Shell、容器逃逸面和低權限執行入口。

這裡不要把禁用模組當作最終修復。它更像是臨時降低暴露面。

如果懷疑已經被利用

Fragnesia 的一個特點是頁面快取污染。V12 在說明中強調，利用後目標檔案在頁面快取中的副本可能含有注入內容，後續執行仍可能觸發異常行為，直到頁面被驅逐或系統重啟。

如果懷疑系統已經被利用，至少要做幾件事：

盡快保留現場日誌和稽核記錄。
檢查近期異常本地登入、低權限使用者活動、可疑程序和 root shell 痕跡。
清理相關頁面快取或直接重啟。
升級到已修復核心。
對關鍵二進位檔做完整性檢查，但不要只依賴磁碟 hash。
輪換可能已經暴露的憑證和金鑰。

如果是生產伺服器，更建議把它當作一次潛在本地提權事件處理，而不是只當作普通補丁升級。

維運側該優先看哪些機器

這類漏洞優先級最高的不是所有 Linux 機器平均處理，而是先看攻擊者最容易拿到低權限程式碼執行的地方。

優先級較高的環境包括：

多使用者登入伺服器
CI / CD runner
建置機
共享開發機
容器宿主機
VPS 和雲主機
暴露 SSH 的邊緣節點
執行第三方腳本或外掛的平台

相對封閉、單使用者、沒有外部程式碼執行入口的機器，風險仍然存在，但緊急程度可以低一些。

小結

Fragnesia 值得關注，不是因為它名字新，而是因為它再次把 Linux 本地提權問題拉回到頁面快取和核心網路子系統這一類複雜交界處。

對管理員來說，最重要的不是研究利用細節，而是確認核心修補狀態、評估是否依賴 ESP / RxRPC、對高暴露機器優先升級，並理解「磁碟檔案沒變」不等於「系統沒有被影響」。

如果系統受影響，最終答案仍然是盡快安裝發行版提供的核心更新。臨時禁用模組只能算過渡措施，不能替代補丁。