Fragnesia: arriva un terzo bug LPE in Linux che mette a rischio i sistemi

Una nuova vulnerabilità di Linux, chiamata Fragnesia, consente a utenti malintenzionati di ottenere i privilegi di root. La vulnerabilità colpisce diverse distribuzioni di Linux e può essere sfruttata attraverso un exploit proof-of-concept.

Nelle ultime settimane, i ricercatori hanno scoperto una terza vulnerabilità di escalation dei privilegi in Linux. Il nuovo bug, denominato Fragnesia, il quale consente a un utente malintenzionato locale di ottenere i privilegi di root sulla maggior parte delle distribuzioni più diffuse. Un exploit proof-of-concept per questa nuova vulnerabilità è già disponibile online.

La vulnerabilità, interessa il sottosistema XFRM ESP-in-TCP del kernel Linux, consentendo a un utente locale non privilegiato di ottenere i privilegi di root modificando i file di cache di pagina di sola lettura.

La vulnerabilità è stata scoperta da William Bowling, un ricercatore di sicurezza presso Zellic. Ha affermato che il bug appartiene alla stessa classe di vulnerabilità di Dirty Frag e CopyFail , segnalate all’inizio di questo mese. Tuttavia, Fragnesia è un problema distinto e ha ricevuto una patch specifica.

Fragnesia colpisce tutte le versioni del kernel Linux rilasciate prima del 13 maggio 2026. Un ricercatore ha già pubblicato una dimostrazione di fattibilità che consente l’accesso come root corrompendo la cache di pagine del binario /usr/bin/su.

Come spiegano gli specialisti di Wiz, il problema è legato a un errore logico in XFRM ESP-in-TCP. L’exploit consente di scrivere byte arbitrari nella cache delle pagine del kernel per i file montati in modalità di sola lettura. A differenza di molte altre vulnerabilità LPE, lo sfruttamento di Fragnesia non richiede l’attivazione di una race condition o il soddisfacimento di altre condizioni.

Gli sviluppatori di AlmaLinux , Amazon Linux , Debian , Ubuntu , Red Hat , SUSE e altri hanno già iniziato a rilasciare patch per Fragnesia. Si consiglia agli utenti di aggiornare il kernel il prima possibile o, quantomeno, di disabilitare temporaneamente i moduli vulnerabili.

Wiz osserva che le restrizioni di AppArmor per gli spazi dei nomi utente non privilegiati potrebbero in parte complicare lo sfruttamento del bug, ma ciò non può essere considerato una protezione completa.

Sebbene i ricercatori non abbiano ancora scoperto attacchi concreti che sfruttino Fragnesia, gli hacker hanno già iniziato a sfruttare altre recenti vulnerabilità di basso livello (LPE) di Linux.

Ad esempio, all’inizio di maggio, i ricercatori della CISA hanno aggiunto la vulnerabilità CopyFail al loro catalogo di bug attivamente sfruttati e hanno richiesto alle agenzie federali statunitensi di risolvere il problema entro il 15 maggio.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research