Resumen #

Este artículo proporciona detalles técnicos adicionales sobre las vulnerabilidades del kernel de Linux:

CVE-2026-43284
CVE-2026-43500

Estas vulnerabilidades se conocen colectivamente como Dirty Frag y afectan a rutas específicas de manejo de paquetes del kernel de Linux asociadas con:

• XFRM/IPsec
• ESP (Carga útil de seguridad encapsulada)
• Fragmentos de búfer de socket compartido (skb frags)
• Manejo de empalme de paquetes UDP

Referencias oficiales:

NVD – CVE-2026-43284
NVD – CVE-2026-43500

Experiencia técnica #

CVE-2026-43284 #

Según los responsables del mantenimiento del kernel de Linux, la vulnerabilidad se origina por un manejo inadecuado de:

• Fragmentos skb compartidos
• Manejo de páginas de empalme UDP
• Operaciones de descifrado in situ de ESP

El problema se produce porque:

MSG_SPLICE_PAGES puede adjuntar páginas de propiedad externa directamente a los búferes de paquetes

Las rutas UDP no lograron marcar esos fragmentos como compartidos utilizando: SKBFL_SHARED_FRAG

Como consecuencia:

• El procesamiento ESP asume erróneamente que los datos del paquete son de propiedad privada.
• El descifrado de ESP puede ocurrir directamente sobre la memoria compartida.
• Es posible que se produzcan errores de memoria o modificaciones de datos no deseadas.

La corrección del kernel introducida en la versión principal introduce:

• Seguimiento adecuado de la propiedad de los fragmentos
• Protecciones adicionales de copia en escritura
• Comportamiento alternativo más seguro mediante: skb_cow_data()

CVE-2026-43500 #

En el momento de escribir:

• CVE-2026-43500 permanece en estado reservado.
• Los detalles técnicos públicos aún son limitados.

Sin embargo, está asociada con la misma familia de vulnerabilidades Dirty Frag y con el subsistema de red del kernel.

RELIANOID Análisis de exposición #

Estándar RELIANOID Los despliegues #

RELIANOID en sí mismo no utiliza:

• Procesamiento de páginas de empalme UDP personalizado
• Manipulación de paquetes ESP sin procesar
• Interacciones directas del kernel XFRM

Por lo tanto, el estándar RELIANOID Las implementaciones no están expuestas en condiciones normales de funcionamiento.

VPN configurada RELIANOID Los despliegues #

RELIANOID implementaciones donde la funcionalidad VPN (Red > VPN) o las configuraciones VPN personalizadas habilitadas pueden usar la funcionalidad Linux IPsec/XFRM dependiendo de la configuración de la VPN.

Esto significa:

• Los módulos del kernel relacionados con IPsec se pueden cargar cuando las funciones VPN/IPsec están habilitadas.
• Los módulos ESP/XFRM pueden activarse
• Las rutas del kernel afectadas podrían, en teoría, volverse accesibles.

Módulos potencialmente cargados #

Cuando se configura la funcionalidad VPN/IPsec, pueden aparecer los siguientes módulos:

esp4
esp6
xfrm_user
xfrm_algo
xfrm4_mode_transport
xfrm4_mode_tunnel
xfrm6_mode_transport
xfrm6_mode_tunnel

Evaluación de riesgos para RELIANOID Usuarios de VPN #

En el presente:

• No se conoce explotación activa contra RELIANOID Se han identificado despliegues de VPN
• Las condiciones de explotación parecen ser muy específicas.
• La vulnerabilidad requiere condiciones complejas de manejo de paquetes que involucran fragmentos skb compartidos.

Sin embargo, los sistemas que utilizan activamente la funcionalidad VPN IPsec deben considerarse potencialmente expuestos hasta que se apliquen parches al kernel.

Cómo determinar si RELIANOID La VPN utiliza IPsec. #

Comprobar los módulos cargados:

lsmod | egrep 'esp|xfrm'

Comprobar los estados IPsec activos #

estado de ip xfrm

Comprobar las políticas IPsec activas #

Política de cambio de IP

Si existen túneles VPN activos, puede aparecer una salida similar a la siguiente:

src 10.0.0.1 dst 10.0.1.1 proto esp spi 0x00000001

Recomendaciones de mitigación #

Sistemas que NO utilizan VPN/IPsec #

Si no se requiere la funcionalidad VPN:

Descarga módulos y limpia la caché.

modprobe -r esp4 esp6 xfrm_user xfrm_algo sync; echo 3 > /proc/sys/vm/drop_caches

Módulos de lista negra

Crear:

/etc/modprobe.d/disable-xfrm.conf

Contenido:

Lista negra esp4 Lista negra esp6 Lista negra xfrm_user Lista negra xfrm_algo Lista negra xfrm4_mode_transport Lista negra xfrm4_mode_tunnel Lista negra xfrm6_mode_transport Lista negra xfrm6_mode_tunnel

Sistemas que utilizan RELIANOID VPN/IPsec #

Si el módulo VPN se está utilizando activamente:

Acciones recomendadas

• Aplique las actualizaciones del kernel del proveedor inmediatamente cuando estén disponibles.
• Restringir el acceso a la VPN únicamente a pares de confianza.
• Limita el software de terceros innecesario
• Monitorización RELIANOID avisos de seguridad
• Supervise el comportamiento anormal del kernel/red.

Las correcciones para solucionar esta vulnerabilidad se incluirán en las versiones EE > 8.5.

Recomendaciones adicionales para el endurecimiento #

Restringir las fuentes de paquetes no confiables #

Utilice reglas de firewall para limitar:

• Exposición pública a ESP
• Tráfico de encapsulación UDP no confiable
• Pares VPN externos

Minimizar la interacción con el kernel de terceros #

Evitar:

• Marcos de trabajo personalizados para la manipulación de paquetes
• Software de red no confiable
• Módulos del núcleo experimentales

Validación tras la mitigación #

Confirme que los módulos afectados no estén cargados:

lsmod | egrep 'esp|xfrm'

Resultado Esperado:

(sin salida)

Resumen #

Las vulnerabilidades de Dirty Frag CVE-2026-43284 y CVE-2026-43500 afecta al procesamiento ESP/XFRM del kernel de Linux asociado con la red IPsec.

Aclaración clave

• Estándar RELIANOID La funcionalidad de equilibrio de carga no se ve afectada.
• Sin embargo, a pesar de la RELIANOID El módulo VPN/IPsec puede cargar los módulos del kernel afectados.
• Sistemas que utilizan: Red > VPN o configuraciones de VPN personalizadas deben evaluar la exposición y aplicar medidas de mitigación según corresponda.

RELIANOID recomienda:

• Deshabilitar la funcionalidad IPsec no utilizada.
• Aplicando actualizaciones del kernel del proveedor
• Restricción de la exposición de los servicios VPN
• Supervisión de los avisos oficiales de seguridad del kernel.