Dirty Frag στον Linux kernel: τι να ξέρετε, πώς διορθώνεται

Τελευταία ενημέρωση: 9 Μαΐου 2026

Σύνοψη

Μια ευπάθεια τοπικής κλιμάκωσης προνομίων στον Linux kernel, γνωστή ως Dirty Frag, έχει δημοσιοποιηθεί. Παρακολουθείται κυρίως ως:

• CVE-2026-43284: IPsec ESP / esp4 / esp6
• CVE-2026-43500: RxRPC / rxrpc

Η Dirty Frag μπορεί να επιτρέψει σε τοπικό χρήστη χωρίς προνόμια να αποκτήσει προνόμια root. Δεν είναι άμεσο απομακρυσμένο δικτυακό exploit, αλλά είναι σοβαρή για servers hosting, επειδή ένας επιτιθέμενος μπορεί πρώτα να αποκτήσει περιορισμένη πρόσβαση μέσω ενός παραβιασμένου website, λογαριασμού SSH/SFTP, container workload ή τοπικού λογαριασμού χρήστη. Η cPanel επιβεβαιώνει ότι το θέμα αφορά τον ίδιο τον Linux kernel και υπάρχει σε πολλές διανομές Linux. (cPanel Support)

---

Επηρεαζόμενα συστήματα

Η Dirty Frag επηρεάζει πολλές διανομές Linux και kernel streams. Οι επιβεβαιωμένα επηρεαζόμενες πλατφόρμες περιλαμβάνουν:

• AlmaLinux 8, 9, 10
• Rocky Linux 8, 9, 10
• CloudLinux 7 Hybrid, 8, 9, 10
• Red Hat Enterprise Linux 8, 9, 10
• Ubuntu 20.04, 22.04, 24.04 και άλλες υποστηριζόμενες εκδόσεις Ubuntu
• Συστήματα Oracle Linux που χρησιμοποιούν επηρεαζόμενους kernels RHCK ή UEK
• Άλλες διανομές Linux με επηρεαζόμενες εκδόσεις kernel

Η CloudLinux επιβεβαιώνει ότι το CloudLinux 7 standard δεν επηρεάζεται, ενώ τα CloudLinux 7 Hybrid, 8, 9 και 10 επηρεάζονται. Τα CloudLinux 9 και 10 χρησιμοποιούν το kernel stream του AlmaLinux. (CloudLinux Blog)

---

Απαιτούμενη ενέργεια

Η συνιστώμενη διόρθωση είναι να εγκαταστήσετε τον διορθωμένο kernel του κατασκευαστή και να επανεκκινήσετε τον server.

Έλεγχος του τρέχοντος kernel:

uname -r

Μετά την ενημέρωση και την επανεκκίνηση, επαληθεύστε ξανά:

uname -r

Η εγκατάσταση του πακέτου kernel από μόνη της δεν αρκεί. Ο server πρέπει να εκκινήσει στον διορθωμένο kernel.

---

Οδηγίες ενημέρωσης ανά λειτουργικό σύστημα

AlmaLinux 8 / 9 / 10

Ενημέρωση του kernel:

dnf clean metadata
dnf update 'kernel*' -y
reboot

Επαλήθευση:

uname -r
rpm -q kernel

Αναμενόμενες διορθωμένες εκδόσεις:

AlmaLinux 8:  kernel-4.18.0-553.123.2.el8_10 or newer
AlmaLinux 9:  kernel-5.14.0-611.54.3.el9_7 or newer
AlmaLinux 10: kernel-6.12.0-124.55.2.el10_1 or newer

Η AlmaLinux επιβεβαιώνει αυτές τις διορθωμένες εκδόσεις kernel στην ανακοίνωσή της για τη Dirty Frag. (AlmaLinux OS)

---

CloudLinux

CloudLinux 7 Hybrid / 8

Αν ο διορθωμένος kernel είναι διαθέσιμος στα stable repositories:

yum update 'kernel*' -y
reboot
uname -r

Αν ο διορθωμένος kernel είναι διαθέσιμος μόνο στο testing/beta repository:

Για CloudLinux 8:

yum --enablerepo=cloudlinux-updates-testing update 'kernel*' -y
reboot
uname -r

Για CloudLinux 7 Hybrid:

yum --enablerepo=cl7h_beta update 'kernel*' -y
reboot
uname -r

Αναμενόμενες διορθωμένες εκδόσεις:

CloudLinux 7 Hybrid: kernel-4.18.0-553.123.2.lve.el7h or newer
CloudLinux 8:        kernel-4.18.0-553.123.2.lve.el8 or newer

Η CloudLinux αναφέρει αυτές τις εκδόσεις-στόχους για τα διορθωμένα kernel streams CL7h και CL8. (CloudLinux Blog)

---

CloudLinux 9 / 10

Τα CloudLinux 9 και 10 χρησιμοποιούν το kernel stream του AlmaLinux. Αν ο διορθωμένος kernel είναι διαθέσιμος από τα stable repositories:

dnf update 'kernel*' -y
reboot
uname -r

Αναμενόμενες διορθωμένες εκδόσεις:

CloudLinux 9:  kernel-5.14.0-611.54.3.el9_7 or newer
CloudLinux 10: kernel-6.12.0-124.55.2.el10_1 or newer

Αν ο διορθωμένος kernel δεν είναι ακόμα ορατός από τα stable repositories ή τα τοπικά mirrors, χρησιμοποιήστε προσωρινά το testing repository του AlmaLinux.

Για CloudLinux 10:

dnf install -y https://repo.almalinux.org/almalinux/10/extras/x86_64/os/Packages/almalinux-release-testing-10-1.el10.x86_64.rpm
dnf update 'kernel*' -y
reboot

Μετά την επανεκκίνηση:

uname -r
dnf config-manager --disable almalinux-testing

Για CloudLinux 9:

dnf install -y https://repo.almalinux.org/almalinux/9/extras/x86_64/os/Packages/almalinux-release-testing-9-1.el9.noarch.rpm
dnf update 'kernel*' -y
reboot

Μετά την επανεκκίνηση:

uname -r
dnf config-manager --disable almalinux-testing

Χρησιμοποιήστε το testing repository μόνο για την ενημέρωση των πακέτων kernel, και απενεργοποιήστε το αμέσως μετά την επαλήθευση. Η CloudLinux τεκμηριώνει αυτή την προσωρινή ροή με testing repository για CL9 και CL10. (CloudLinux Blog)

---

RHEL / Rocky Linux / Oracle Linux

Για συστήματα της οικογένειας RHEL:

dnf clean all
dnf update 'kernel*' -y
reboot

Για συστήματα Oracle Linux με UEK, ενημερώστε και τα πακέτα UEK:

dnf update 'kernel*' 'kernel-uek*' -y
reboot

Επαλήθευση:

uname -r
rpm -q kernel kernel-core kernel-uek 2>/dev/null

Η Red Hat επιβεβαιώνει ότι η Dirty Frag επηρεάζει RHEL 8, 9, 10 και OpenShift 4, και συνιστά ενημερώσεις kernel ή μετριασμό ανάλογα με τη διαθεσιμότητα των patches. (Red Hat Customer Portal)

---

Ubuntu / Debian

Ενημέρωση του kernel του συστήματος:

apt update
apt full-upgrade -y
reboot

Επαλήθευση:

uname -r
dpkg -l | grep linux-image

Η Ubuntu επιβεβαιώνει ότι η διόρθωση παρέχεται μέσω των πακέτων Linux kernel image και συνιστά επανεκκίνηση στον ενημερωμένο kernel. (Ubuntu)

---

SUSE / openSUSE

Ενημέρωση του kernel:

zypper refresh
zypper update kernel-default
reboot

Επαλήθευση:

uname -r
rpm -qa | grep kernel

---

Προσωρινός μετριασμός

Αν δεν είναι ακόμα διαθέσιμος διορθωμένος kernel ή livepatch, μπλοκάρετε τα επηρεαζόμενα modules:

cat > /etc/modprobe.d/dirtyfrag.conf <<'EOF'
install esp4 /bin/false
install esp6 /bin/false
install rxrpc /bin/false
EOF

rmmod esp4 esp6 rxrpc 2>/dev/null || true

Επαλήθευση:

grep -qE '^(esp4|esp6|rxrpc) ' /proc/modules && echo "Affected modules are loaded" || echo "Affected modules are NOT loaded"

Ο μετριασμός αυτός μπλοκάρει τα esp4, esp6 και rxrpc, που είναι οι επηρεαζόμενες διαδρομές modules του kernel. Η CloudLinux, η Ubuntu και η Red Hat τεκμηριώνουν αυτή την προσέγγιση αποκλεισμού modules ως προσωρινό μετριασμό. (CloudLinux Blog)

---

Σημαντική προειδοποίηση

Μην εφαρμόσετε αυτόν τον μετριασμό χωρίς έλεγχο σε συστήματα που χρησιμοποιούν:

• IPsec
• StrongSwan
• Libreswan
• VPN gateways
• Φόρτους εργασίας AFS / RxRPC

Ο αποκλεισμός των esp4 και esp6 μπορεί να διακόψει την κίνηση IPsec, και ο αποκλεισμός του rxrpc μπορεί να επηρεάσει φόρτους εργασίας AFS/RxRPC. Η Ubuntu και η Red Hat σημειώνουν και οι δύο αυτή τη λειτουργική επίπτωση. (Ubuntu)

---

Πρόσθετο βήμα για Ubuntu / Debian

Σε συστήματα Ubuntu και Debian, αναδημιουργήστε το initramfs μετά την εφαρμογή του μετριασμού:

update-initramfs -u -k all

Στη συνέχεια επαληθεύστε ξανά:

grep -qE '^(esp4|esp6|rxrpc) ' /proc/modules && echo "Affected modules are loaded" || echo "Affected modules are NOT loaded"

Η Ubuntu συνιστά την αναδημιουργία του initramfs ώστε τα επηρεαζόμενα modules να παραμένουν μπλοκαρισμένα κατά την εκκίνηση. (Ubuntu)

---

Άδειασμα της page cache μετά τον μετριασμό

Μετά την εφαρμογή του μετριασμού, αδειάστε την page cache:

sync
echo 3 > /proc/sys/vm/drop_caches

Η CloudLinux σημειώνει ότι το exploit μπορεί να τροποποιήσει νόμιμα binaries του συστήματος μέσα στην page cache, οπότε το άδειασμα της page cache συνιστάται μετά τον μετριασμό σε συστήματα που μπορεί να έχουν στοχοποιηθεί. (CloudLinux Blog)

---

Αφαίρεση του μετριασμού μετά το patching

Αφού εγκατασταθεί ο διορθωμένος kernel και ο server επανεκκινήσει σε αυτόν:

rm -f /etc/modprobe.d/dirtyfrag.conf

Για Ubuntu / Debian:

update-initramfs -u -k all

Επανεκκίνηση αν απαιτείται:

reboot

---

KernelCare

Αν είναι εγκατεστημένο το KernelCare:

kcarectl --update

Επαλήθευση κάλυψης:

kcarectl --patch-info | grep -E 'CVE-2026-43284|CVE-2026-43500|Dirty Frag'

Αν η CVE δεν εμφανίζεται στην έξοδο, το KernelCare μπορεί να μην καλύπτει ακόμα τον kernel που τρέχει. Σε αυτή την περίπτωση, εφαρμόστε την ενημέρωση kernel του κατασκευαστή ή τον προσωρινό μετριασμό. Η cPanel και η CloudLinux αναφέρουν και οι δύο το KernelCare ως διαθέσιμη διαδρομή livepatch όπου υπάρχει κάλυψη. (cPanel Support)

---

Λίστα ελέγχου επαλήθευσης

Εκτελέστε τα παρακάτω μετά το patching ή τον μετριασμό:

cat /etc/os-release
uname -r

Για συστήματα της οικογένειας RHEL:

rpm -q kernel kernel-core kernel-uek 2>/dev/null

Για Ubuntu / Debian:

dpkg -l | grep linux-image

Έλεγχος των επηρεαζόμενων modules:

lsmod | grep -E 'esp4|esp6|rxrpc'

Επιβεβαίωση της κατάστασης του μετριασμού:

grep -qE '^(esp4|esp6|rxrpc) ' /proc/modules && echo "Affected modules are loaded" || echo "Affected modules are NOT loaded"

---

Σύσταση της EuroVPS

Περιορίστε την περιττή πρόσβαση SSH, SFTP, shell και panel, ελέγξτε τον server για παραβιασμένα websites, απροσδόκητους τοπικούς χρήστες ή κλιμάκωση προνομίων, και μεταφέρετε τα λειτουργικά συστήματα που βρίσκονται στο τέλος ζωής τους.

---

Χρειάζεστε βοήθεια;

Ανοίξτε ένα ticket υποστήριξης από την περιοχή πελατών και, σε servers όπου έχουμε πρόσβαση root, οι μηχανικοί μας θα εφαρμόσουν το patch ή τον μετριασμό και θα επαληθεύσουν τη διόρθωση.