Dirty Frag Açığı Linux Sistemlerde Root Yetkisi Kazandırabiliyor

Linux çekirdeğini etkileyen ve yaklaşık dokuz yıldır fark edilmeden kalan yeni bir ayrıcalık yükseltme açığı zinciri ortaya çıktı. Dirty Frag adı verilen güvenlik sorunu, sistem dosyalarının bellekte yetkisiz şekilde değiştirilmesine olanak tanıyor ve saldırganların root yetkisi elde etmesine kapı açıyor.

Güvenlik araştırmacısı Hyunwoo Kim tarafından yayımlanan PoC exploit kodu sonrası güvenlik topluluğunda alarm durumu oluştu. Açığın; Ubuntu, RHEL, Fedora, AlmaLinux, openSUSE ve CentOS Stream dahil çok sayıda popüler Linux dağıtımını etkilediği belirtiliyor.

Dirty Pipe ve Copy Fail’in Yeni Nesli

Dirty Frag, daha önce büyük yankı uyandıran Dirty Pipe ve Copy Fail açıklarıyla aynı sınıfta değerlendiriliyor. Ancak araştırmacılara göre yeni açık zinciri, Linux kernel içerisinde farklı bir veri yapısını hedef aldığı için daha geniş kapsamlı olabilir.

Açık zinciri iki farklı kernel zafiyetinin birleşmesiyle çalışıyor:

• CVE-2026-43284 – xfrm-ESP Page Cache Write
• CVE-2026-43500 – RxRPC Page Cache Write

Teknik Detay: Dirty Frag, yarış durumu (race condition) gerektirmeyen deterministik bir mantık hatası kullanıyor. Bu da exploit başarısını ciddi şekilde artırıyor ve sistemi çökertmeden tekrar tekrar denenebilmesini sağlıyor.

Açık Nasıl Çalışıyor?

Linux çekirdeği performans amacıyla dosya içeriklerini RAM içerisinde page cache adı verilen bir yapıda tutuyor. Dirty Frag, IPsec ESP ve RxRPC modüllerindeki hataları kullanarak bu önbellek yapısına yetkisiz yazım yapılmasına imkan veriyor.

Saldırganlar bu yöntemle korunan sistem dosyalarını bellekte değiştirerek root yetkisine ulaşabiliyor. Araştırmacıya göre exploit başarısız olsa bile kernel panic oluşmaması, saldırının pratikte daha güvenilir hale gelmesine neden oluyor.

Microsoft Defender ekibi ise bazı sistemlerde “su” üzerinden gerçekleşen şüpheli privilege escalation aktiviteleri gözlemlediklerini ve bunların Dirty Frag veya Copy Fail teknikleriyle ilişkili olabileceğini açıkladı.

Etkilenen Sistemler ve Durum

Kurumlar Ne Yapmalı?

Güvenlik uzmanları, özellikle çok kullanıcılı Linux sistemlerinde ve container altyapılarında acil önlem alınması gerektiğini vurguluyor. Patch yayınlanana kadar önerilen geçici mitigasyonlar şunlar:

• Kullanılmayan RxRPC modüllerini devre dışı bırakmak
• Gereksiz local shell erişimlerini sınırlandırmak
• SELinux’u enforcing modunda çalıştırmak
• Container workload’larını non-root olarak işletmek
• Şüpheli privilege escalation aktivitelerini izlemek

Uzmanlara göre yalnızca SSH erişimini kapatmak yeterli değil; çünkü saldırgan farklı yollarla lokal erişim elde edebiliyor.