Przejdź do treści
Infrastruktura

Krytyczna podatność Dirty Frag w Linuxie. Administratorzy muszą działać tymczasowo

CERT Polska ostrzega przed nową luką LPE w jądrze Linuxa, która umożliwia lokalną eskalację uprawnień do root. Kod exploitacyjny jest publiczny, a poprawki jeszcze niedostępne. Administratorzy powinni wdrożyć tymczasową mitygację.

3 min read
A fragmented digital wall with a glowing red crack spreading from the center, surrounded by abstract server racks and a broken lock symbol, all in dark blue and grey tones.

Zespół CERT Polska opublikował ostrzeżenie o kolejnej podatności typu Local Privilege Escalation w systemach Linux, oznaczonej jako Dirty Frag. Luka pozwala lokalnemu użytkownikowi na podniesienie uprawnień do poziomu root, a kod umożliwiający jej wykorzystanie został już publicznie udostępniony. Na ten moment żadna z popularnych dystrybucji nie wydała jeszcze oficjalnej poprawki – administratorzy powinni wdrożyć tymczasowe zabezpieczenie.

Czym jest Dirty Frag i dlaczego jest groźna?

Podatność Dirty Frag wykorzystuje podobny mechanizm co wcześniej opisywana luka Copy Fail. Oznacza to, że problem dotyczy praktycznie wszystkich dystrybucji systemu Linux wydanych od 2017 roku. Luka umożliwia eskalację uprawnień w jądrze, co w praktyce oznacza, że każdy użytkownik z dostępem do powłoki może uzyskać pełną kontrolę nad systemem.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak podkreśla CERT Polska w swoim komunikacie, kod exploitacyjny został opublikowany wraz z instrukcją użycia, co znacząco zwiększa ryzyko aktywnego wykorzystania luki. Atakujący nie musi posiadać zaawansowanych umiejętności – wystarczy, że uruchomi odpowiednie narzędzie w systemie, do którego ma już dostęp.

Kto jest najbardziej narażony?

Szczególnie zagrożone są środowiska, w których dostęp do systemu mają niezaufani użytkownicy lub uruchamiany jest kod pochodzący od użytkowników. CERT Polska wymienia wśród nich:

  • serwery współdzielone,
  • środowiska multi-tenant,
  • klastry Kubernetes,
  • środowiska kontenerowe,
  • CI runners,
  • platformy chmurowe,
  • usługi SaaS uruchamiające kod użytkownika.

W praktyce oznacza to, że luka może być wykorzystana do przejęcia kontroli nad serwerem hostingowym, wydobycia danych z kontenerów lub eskalacji uprawnień w chmurze. Administratorzy takich środowisk powinni traktować to ostrzeżenie priorytetowo.

Tymczasowa mitygacja – jak zabezpieczyć system?

Do czasu publikacji oficjalnych aktualizacji jądra Linux, CERT Polska rekomenduje zastosowanie tymczasowego zabezpieczenia poprzez wyłączenie modułów esp4, esp6 oraz rxrpc. Można to zrobić wykonując następujące polecenie:

sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

Należy jednak traktować to rozwiązanie wyłącznie jako środek tymczasowy. Docelową rekomendacją pozostaje aktualizacja jądra Linux niezwłocznie po opublikowaniu odpowiednich poprawek bezpieczeństwa. Administratorzy powinni monitorować komunikaty swoich dystrybucji i wdrożyć łatkę w pierwszej kolejności na systemach produkcyjnych.

Co dalej? Aktualizacje i monitoring

Na moment publikacji ostrzeżenia żadna z popularnych dystrybucji Linuxa nie udostępniła jeszcze aktualizacji zawierającej poprawkę bezpieczeństwa. Prace nad łatką trwają, a społeczność open source oraz producenci dystrybucji pracują nad załataniem luki. Administratorzy powinni regularnie sprawdzać dostępność aktualizacji i wdrażać je jak najszybciej.

W przypadku wykrycia oznak potencjalnego wykorzystania tej podatności CERT Polska prosi o niezwłoczny kontakt. Oznaki takie mogą obejmować nietypowe procesy uruchomione z uprawnieniami roota, logi wskazujące na próby eskalacji lub nieoczekiwane zmiany w konfiguracji systemu. Warto również wdrożyć monitoring integralności plików i logów systemowych, aby szybko wychwycić podejrzane aktywności.

Podatność Dirty Frag to kolejne przypomnienie, że nawet dobrze zarządzane systemy Linux wymagają stałej uwagi. Tymczasowa mitygacja nie zastąpi pełnej aktualizacji, ale może uchronić przed atakiem w krytycznym okresie oczekiwania na poprawkę.

#administracja #CERT Polska #Dirty Frag #eskalacja uprawnień #Linux #podatność
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic image of a worried man looking at his smartphone on a Berlin street, with subtle surveillance cameras in the background, natural daylight, depth of field, 16:9, photojournalistic style, slight grain, no text or logos. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Niemcy będą gromadzić adresy IP przez 3 miesiące. Co to znaczy dla Twojej prywatności?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta około 30 lat, siedzi przy stole w polskim mieszkaniu, trzyma smartfona w dłoni, twarz zaniepokojona, patrzy na ekran telefonu (widok od tyłu telefonu, bez widocznego interfejsu). Na stole leży portfel i karta płatnicza (bez widocznych napisów). Naturalne światło dzienne wpadające przez okno. Głębia ostrości: twarz i telefon ostre, tło lekko rozmyte. Kadr 16:9, zbliżenie na twarz i dłonie. Styl jak zdjęcie reporterskie z Getty Images, lekki szum, wysoki kontrast. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

75 milionów rekordów Revolut na czarnym rynku. Czy twoje dane są bezpieczne?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta trzyma w dłoni banknot 20 euro, patrzy na niego z zaskoczeniem i uśmiechem. Naturalne światło dzienne, wnętrze mieszkania, na stole leżą inne banknoty i monety. Niewyraźny fragment banknotu (bez czytelnych napisów), twarz kobiety wyraża dumę i ciekawość. Kadr zbliżony, głębia ostrości, lekki szum. Styl Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Nowy banknot euro z Polką? EBC pokazał projekt. Skłodowska-Curie na 20 euro

27 lipca, 2026 3 min read