Exploit for DirtyFrag-go

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-NONAMEUSEROSINT-HUE-DIRTYFRAG-GO
# dirtyfrag-go

> दो बग। एक शेल। कोई डिस्क राइट नहीं।

dirtyfrag का Go पोर्ट (CVE-2026-43284 / CVE-2026-43500)।

## यह कैसे काम करता है (tl;dr)

यह बग Linux कर्नेल XFRM सबसिस्टम में है। जब किसी फ़ाइल पेज को `splice()` करके एक पाइप में और फिर एक ESP-एन्क्रिप्टेड सॉकेट में डाला जाता है, तो कर्नेल ESP पेलोड को इन-प्लेस डिक्रिप्ट करता है - सीधे स्रोत फ़ाइल के पेज-कैश पेज में। फ़ाइल केवल-पठनीय है। पेज कैश नहीं है।

dirtyfrag इस प्रिमिटिव का शोषण करने वाले दो स्वतंत्र बगों को जोड़ता है:

**CVE-2026-43284 - ESP/XFRM पथ**

`NETLINK_XFRM` के माध्यम से 48 XFRM ट्रांसपोर्ट-मोड SA स्थापित करता है। प्रत्येक SA अपनी ESN रीप्ले स्थिति के `seq_hi` फ़ील्ड में शेलकोड पेलोड के 4 बाइट एन्कोड करता है। एक `vmsplice` \+ `splice` श्रृंखला प्रत्येक SA के लिए ESP इन-प्लेस डिक्रिप्शन ट्रिगर करती है, उन 4 बाइट्स को `/usr/bin/su` पेज-कैश एंट्री में लिखती है। 48 ट्रिगर, 192 बाइट लिखे गए, कोई रेस कंडीशन नहीं।

**CVE-2026-43500 - RxRPC/rxkad पथ**

डिक्रिप्ट होने पर लक्षित बाइट अनुक्रम उत्पन्न करने वाली 3 PCBC(fcrypt) सत्र कुंजियों को ऑफ़लाइन ब्रूट-फोर्स करता है। प्रत्येक कुंजी के लिए `/etc/passwd` में रूट एंट्री को `root::0:0` (nullok) में पैच करने हेतु एक `AF_RXRPC` सॉकेट ट्रिगर फायर करता है। `su -` तब एक खाली पासवर्ड स्वीकार करता है।

दोनों पथ होस्ट पर `CAP_NET_ADMIN` की आवश्यकता से बचने के लिए यूज़र + नेटवर्क नेमस्पेस (`CLONE_NEWUSER | CLONE_NEWNET`) में चलते हैं।

## उपयोग

root@kitploit:~
    
    
    go build -o dirtyfrag-go .
    ./dirtyfrag-go
    
    # Force a specific path
    ./dirtyfrag-go --force-esp
    ./dirtyfrag-go --force-rxrpc
    
    # Verbose output
    ./dirtyfrag-go -v
    

बाइनरी पहले ESP पथ आज़माता है। यदि उसके बाद `/usr/bin/su` पैच नहीं होता है, तो यह RxRPC पथ पर वापस आ जाता है (अधिकतम 3 पुनःप्रयास)। सफलता पर यह एक नए PTY के माध्यम से रूट शेल में प्रवेश करता है।

### सफाई

एक्सप्लॉइट केवल पेज कैश को छूता है। डिस्क पर मौजूद बाइनरी और `/etc/passwd` अछूते रहते हैं। रीबूट सब कुछ बहाल कर देता है। बिना रीबूट किए तुरंत निकालने के लिए:

root@kitploit:~
    
    
    echo 1 | tee /proc/sys/vm/drop_caches
    

## आवश्यकताएँ

  * Linux - अनपैच्ड कर्नेल (नीचे देखें)
  * कोई बाहरी उपकरण या प्रीबिल्ट पेलोड नहीं - शुद्ध Go, एकल स्टैटिक बाइनरी
  * कर्नेल मॉड्यूल: `esp4`, `esp6` (ESP पथ) और/या `rxrpc` (RxRPC पथ)



## प्रभावित कर्नेल

पैच से पहले के सभी कर्नेल:

  * CVE-2026-43284: https://lists.openwall.net/netdev/2026/05/06/112
  * CVE-2026-43500: https://lists.openwall.net/netdev/2026/05/06/114



## शमन

root@kitploit:~
    
    
    rmmod esp4 esp6 rxrpc
    printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
      > /etc/modprobe.d/dirtyfrag.conf
    

## मूल से तुलना

Go का रनटाइम शुरू से ही मल्टी-थ्रेडेड होता है, इसलिए `unshare(CLONE_NEWUSER)` की अनुमति नहीं है। Go पोर्ट `SysProcAttr.Cloneflags` सेट करके स्वयं को एक चाइल्ड प्रोसेस के रूप में पुनः-निष्पादित करता है, जो Go रनटाइम के आरंभ होने से पहले `clone()` को कॉल करता है।

## संदर्भ

  * V4bel/dirtyfrag \- मूल C PoC
  * CVE-2026-43284 - NVD
  * CVE-2026-43500 - NVD



## श्रेय

  * **V4bel** \- भेद्यता खोज और मूल PoC