Dirty Frag（CVE-2026-43284）：読み取り専用ファイルへのアクセスからroot権限を奪取するLinuxカーネルの脆弱性

【なぜ重要か】 Dirty FragはLinuxカーネルのネットワーク処理コードに存在する脆弱性群であり、ほぼ権限を持たないローカルユーザーが読み取り専用ファイルへ書き込みを行い、root権限を取得できる。脆弱なパターンは2017年頃からカーネルに存在しており、ほぼすべての主要Linuxディストリビューションに影響する。コンテナ環境ではホストのカーネルを共有しているため、コンテナからノード全体へのエスカレーション（コンテナエスケープ）リスクも確認されており、KubernetesへのPoC（実証コード）がすでに公開されている。

【ポイント】

• 3つのCVEで構成：CVE-2026-43284（IPsec/XFRM ESP、CVSSスコア8.8）、CVE-2026-43500（RxRPC/AFS、CVSSスコア7.8）、CVE-2026-46300「Fragnesia」（XFRM ESP-in-TCP、CVSSスコア7.8）の3件が「Dirty Frag」としてグループ化されており、それぞれカーネルの異なるネットワークサブシステムに存在する。
• 攻撃の仕組み：splice()などのカーネル関数がページキャッシュ上のデータをコピーせずにネットワーク処理コードへ渡す際、ESP・RxRPCの処理がメモリが共有されているかを確認せずに書き込みを行う。攻撃者は/usr/bin/suなどの特権バイナリを対象にページキャッシュ上の内容を改ざんでき、ディスク上のファイルは変化しないまま、メモリ上の読み取られるコピーが書き換えられてroot権限が手渡される。
• Fragnesiaは追加パッチが必要な派生バリアント：最初のDirty Fragパッチは「フラグメントが共有されている」ことを示すマーカーに依存したが、2013年から存在していたパケットフラグメント結合コードのバグがそのマーカーを無効化するため、パッチ後も新たなroot権限取得経路が残存していた。
• コンテナ・Kubernetes環境での影響：コンテナはホストカーネルを共有しているため、コンテナが脆弱なカーネルコードに到達できる場合はノード全体のroot権限奪取が可能。非rootでのワークロード実行、seccompプロファイルの適用、Pod SecurityポリシーやUser Namespace制限は攻撃を部分的に抑制できるが、根本的な修正にはカーネルのアップデートが必要。
• 露出確認の方法：uname -rでカーネルバージョンを確認しディストリビューションのアドバイザリと照合する（ディストリビューションはバックポートで修正するため、バージョン番号だけでは判断できない点に注意）。lsmod | grep -E 'esp4|esp6|rxrpc'で脆弱なモジュールのロード状況を確認し、sysctl user.max_user_namespacesでESP経路の到達可能性を確認する。Red HatはCVE-2026-43500は自社製品に影響しないと表明しているが、CVE-2026-43284とCVE-2026-46300はRHELおよびその派生製品に影響すると公表している。

【まとめ】 Dirty Fragはページキャッシュの改ざんを通じて低権限ユーザーがroot権限を取得できる深刻なLinuxカーネル脆弱性であり、コンテナエスケープにも悪用可能なPoCがすでに公開されている。対策の核心はコンテナイメージではなくノードのカーネル自体をアップデートすること。uname -rの出力をベンダーのアドバイザリと照合した上で、各ディストリビューションが提供するバックポート済みカーネルパッケージを適用し、再起動後にロードされているカーネルバージョンを確認することが急務となる。