Linux高風險漏洞Dirty Frag影響2017年至今的系統核心，以及5種發行版

對此，微軟表示，經由存在漏洞的系統核心網路與記憶體碎片處理（memory-fragment）等元件，這些元件包含兩大子系統：ESP（Encapsulating Security Payload）與RxRPC，前者囊括處理IPsec網路加密通訊的esp4（ESP for IPv4）與esp6（ESP for IPv6），對應的漏洞是CVE-2026-43284，美國國家漏洞資料庫（NVD）已發布相關資訊，CVSSv3嚴重性評為7.8分，屬於高風險漏洞，Linux核心組織已釋出多項修補機制；至於RxRPC存在的漏洞是CVE-2026-43500，截至目前為止，NVD尚未發布相關資訊，也沒有修補機制。

至於Dirty Frag影響的Linux環境，微軟表示，可能包含Ubuntu、RHEL、 CentOS Stream、AlmaLinux、Fedora、openSUSE等Linux發行版，以及容器平臺OpenShift。

另一家資安廠商Wiz則以表列形式，呈現Dirty Frag影響的Linux系統範圍，除了提及上述產品，該公司也具體列出受影響的版本，以Linux核心為例，就ESP子系統而言，可涵蓋2017年至今的所有版本，就RxRPC子系統而言，可涵蓋2023年至今的所有版本。

除了影響多種Linux系統，Dirty Frag可能導致的具體資安威脅是什麼？微軟警告，根據公開通報與概念驗證（PoC）的活動指出，比起傳統仰賴條件競爭的本機權限提升伎倆，Dirty Frag濫用能提供更可靠的提權手段。攻擊者會在哪一個階段採用這種伎倆？微軟認為，可能在初始滲透，設法獲得本機系統的程式碼執行權之後，方法包括：經由SSH以遭駭的帳號進行存取、在面向網際網路的應用系統執行Web Shell存取、從容器跳脫至主機端、侵入與濫用低權限的系統服務帳號，或是透過網路釣魚、遠端存取駭入之後，再濫用Dirty Frag。

若要緩解Dirty Frag漏洞，微軟建議下列六個可採取的措施：首先，在維持系統運作的情況下，停用非必要的核心模組；第二，評估esp4、esp6與IP封包轉換框架xfrm或IPsec等功能，確認可否暫時停用；第三，限制非必要的本機shell存取；第四，針對容器化工作負載進行強固；第五，加強監控異常的權限升級活動；第六，一旦有廠商發布相關的產品資安公告，優先部署核心修補程式。

Wiz的緩解建議也和微軟類似，像是停用存在漏洞的核心模組，套用緩解作法前、先評估對於系統運作的衝擊，修補一旦公布即優先套用、監控可疑活動，差異在於強化本機存取路徑限制，以及察覺疑似發生漏洞濫用活動，就進行清理程序。