Dirty Frag : la nouvelle faille Linux qui permet d’obtenir un accès root sur presque toutes les distributions

Une nouvelle vulnérabilité critique baptisée Dirty Frag secoue actuellement l’écosystème Linux. Découverte par le chercheur en sécurité Hyunwoo Kim (@v4bel), cette chaîne d’exploitation permet à un utilisateur local non privilégié d’obtenir des droits root sur la majorité des distributions Linux modernes avec un taux de réussite extrêmement élevé.

Le plus inquiétant dans cette affaire : l’exploit est déjà public, plusieurs preuves de concept fonctionnelles circulent, et lors de la divulgation initiale, aucun correctif officiel n’était encore disponible.

Dirty Frag : le successeur de Dirty Pipe et Dirty COW

Dirty Frag appartient à la célèbre famille des vulnérabilités “Dirty”, qui comprend notamment :

Dirty COW (2016) ;
Dirty Pipe (2022) ;
plus récemment Copy Fail (2026).

Comme ses prédécesseurs, Dirty Frag exploite un problème lié au page cache du noyau Linux. Le page cache est une zone mémoire utilisée par le kernel pour accélérer les opérations de lecture et d’écriture sur les fichiers.

L’exploitation permet de modifier en mémoire des fichiers protégés ou en lecture seule, sans disposer des privilèges nécessaires.

Comment fonctionne Dirty Frag ?

Dirty Frag repose sur l’enchaînement de deux vulnérabilités distinctes :

CVE-2026-43284 : faille dans le sous-système xfrm-ESP/IPsec ;
CVE-2026-43500 : faille dans le module RxRPC.

L’attaque abuse d’un mécanisme légitime du noyau Linux appelé splice(), qui permet de transférer des données entre des descripteurs de fichiers sans copie mémoire afin d’optimiser les performances.

Dans certaines conditions, ces opérations permettent au noyau d’écrire directement dans des pages mémoire mises en cache appartenant à des fichiers protégés.

En pratique, un attaquant local peut :

modifier /etc/passwd ;
injecter du code dans des binaires SUID ;
contourner l’authentification ;
obtenir un shell root complet.

Pourquoi cette faille est particulièrement dangereuse ?

Contrairement à de nombreux exploits kernel Linux, Dirty Frag ne repose pas sur :

une race condition ;
un timing précis ;
un crash du noyau.

Le chercheur indique que l’exploitation est :

stable ;
déterministe ;
très fiable ;
avec un taux de réussite proche de 100 %.

Cela réduit fortement la complexité d’exploitation et facilite une industrialisation rapide par des groupes malveillants.

Quelles distributions Linux sont concernées ?

Les chercheurs ont confirmé l’exploitation sur plusieurs distributions majeures :

Ubuntu ;
Debian ;
RHEL ;
AlmaLinux ;
CentOS Stream ;
Fedora ;
openSUSE.

Les environnements particulièrement exposés incluent :

serveurs multi-utilisateurs ;
clusters Kubernetes ;
runners CI/CD ;
plateformes cloud mutualisées ;
environnements de conteneurs partageant le même noyau Linux.

Un risque important pour les environnements conteneurisés

Dirty Frag remet également en question les modèles de sécurité basés uniquement sur l’isolation par conteneurs.

Comme le page cache est partagé au niveau du noyau hôte, un attaquant exécutant du code dans un conteneur pourrait potentiellement impacter l’ensemble de l’hôte Linux et les autres workloads présents.

Les experts recommandent désormais :

l’utilisation de microVM (Firecracker) ;
des runtimes renforcés comme gVisor ;
la réduction des workloads non fiables sur noyau partagé.

Existe-t-il des mitigations ?

Au moment de la divulgation initiale, aucun correctif complet n’était encore disponible pour certaines variantes de Dirty Frag.

Toutefois, plusieurs mesures temporaires sont recommandées :

blacklister les modules esp4, esp6 et rxrpc ;
désactiver les namespaces non privilégiés ;
renforcer les politiques SELinux/AppArmor ;
surveiller les élévations de privilèges locales ;
appliquer rapidement les futures mises à jour kernel.

Certaines configurations SELinux strictes semblent également limiter certaines chaînes d’exploitation.

L’IA accélère désormais la découverte des failles Linux

Un autre point marquant est le contexte dans lequel Dirty Frag apparaît.

Quelques jours avant cette découverte, la faille Copy Fail avait déjà montré comment des outils assistés par IA pouvaient identifier automatiquement des vulnérabilités complexes dans le noyau Linux.

Les chercheurs estiment désormais que :

les cycles de découverte de vulnérabilités vont s’accélérer ;
les exploits kernel deviendront plus fréquents ;
les correctifs devront être déployés beaucoup plus rapidement.

Dirty Frag illustre parfaitement cette nouvelle réalité : les vulnérabilités kernel critiques ne sont plus rares, et leur exploitation devient de plus en plus fiable et industrialisable.

Références