近期，Linux内核安全风险持续升温。继Copy Fail、Dirty Frag两项高危漏洞之后，安全研究人员在短短两周内再次披露了第三个严重安全缺陷——Fragnesia。该Linux内核漏洞可让未经授权的本地用户稳定实现权限提升，最终获取系统最高的root权限，对服务器环境和个人电脑都构成了直接安全威胁。

这一漏洞由研究员William Bowling及其所属的V12 Security团队发现并公开披露。攻击面主要集中在Linux内核中负责通过TCP处理IPsec加密流量的XFRM ESP-in-TCP子系统。问题根源在于，内核在处理共享页碎片与套接字缓冲区合并时存在逻辑错误，导致系统“遗忘”某些碎片仍处于共享状态，进而给攻击者留下可控写入的机会。

漏洞利用原理与攻击路径

与部分依赖复杂竞态条件的本地提权漏洞不同，Fragnesia的利用链相对清晰直接。攻击者首先调用unshare()函数，创建隔离的用户命名空间和网络命名空间，并在该隔离环境内取得CAP_NET_ADMIN（网络管理）能力。随后，攻击者利用已知的AES-128-GCM密钥配置特制的ESP安全关联，同时构造一个包含256项的查找表，为后续逐字节覆盖与改写操作提前铺路。

核心步骤在于，攻击者通过代码将目标二进制文件/usr/bin/su的页面直接拼接到TCP套接字缓冲区，随后切换至espintcp上层协议模式。此时，Linux内核会尝试对队列中的数据执行原地解密，结果导致AES-GCM密钥流被直接异或到该文件在页缓存中的副本上。借助这一过程，攻击者可以精准翻转指定字节，将su文件开头的192字节篡改为一段微型ELF桩代码。这段代码会调用setresuid(0,0,0)并执行/bin/sh，最终实现本地用户提权并直接拿到root shell。

漏洞的隐蔽性与影响范围

Fragnesia最棘手之处在于其极强的隐蔽性。磁盘上的原始/usr/bin/su文件实际上不会被改动，全部篡改行为都发生在内存页缓存中。这意味着很多依赖文件完整性校验的安全工具可能难以及时发现异常，而一旦有用户执行su命令，系统就可能瞬间被攻击者接管。研究人员表示，所有受Dirty Frag漏洞影响、且在2026年5月13日之前尚未完成补丁修复的Linux内核版本，同样会受到Fragnesia漏洞波及。

目前，安全团队已经在Ubuntu 22.04和24.04发行版上成功复现并验证了该漏洞，测试涉及的内核版本包括6.8.0-111-generic。虽然Ubuntu默认借助AppArmor对非特权用户命名空间施加限制，略微抬高了攻击门槛，但研究人员指出，这种限制只需额外增加一步操作即可绕过，并不能对该Linux内核高危漏洞形成实质性防御。

临时缓解与根本解决方案

对于系统管理员来说，如果业务环境并不依赖IPsec ESP或RxRPC协议，最快速的临时缓解措施就是禁用相关存在风险的内核模块。如果怀疑系统已经遭到利用，则应及时清理页缓存中/usr/bin/su的恶意篡改副本，或直接重启服务器与主机系统。当然，最安全、最可靠的处理方式，仍然是尽快安装各大Linux发行版官方提供的内核安全补丁。针对Fragnesia漏洞的上游修复补丁已于2026年5月13日提交至Linux内核主线。