# Fragnesia 漏洞全面分析：Linux Root 權限攻擊手法、影響範圍與即時防護教學
最近 Linux 安全圈又爆出一單大鑊嘢 — **Fragnesia**（CVE-2026-XXXXX）（CVE-2026-XXXXX）係繼 Dirty Pipe 之後另一條可以喺 Linux kernel 拎到 root 權限嘅本地提權漏洞。呢個漏洞被定性為高危（CVSS 8.4+），事關佢影響範圍極廣，幾乎所有主流 Linux distribution 都中招。今次我哋就由零開始，step-by-step 拆解佢嘅運作原理、點樣 check 自己部機有冇中招，同埋點樣即刻做防護。
## Fragnesia 係咩嚟嘅？
呢個漏洞存在於 Linux kernel 記憶體管理子系統嘅漏洞，主要問題出喺 fragmentation handling 嘅邏輯缺陷。攻擊者可以透過精心構造嘅記憶體操作，繞過 kernel 嘅權限檢查，最終獲得 root 權限。簡單講就係「碎片失憶症」— kernel 喺處理 fragmented memory pages 嘅時候「忘記」咗做權限驗證，令到 unprivileged user 可以寫入本應 restricted 嘅 kernel memory。
## Fragnesia 點樣運作？（技術拆解）
攻擊鏈大致分三步：
1. **Memory Pressure 觸發** — 攻擊者先大量 allocate memory，令 kernel 進入 memory reclaim 狀態
2. **Fragmentation Gap** — 喺 reclaim 過程中，kernel 嘅 page allocator 出現 race condition，導致某啲 freed pages 嘅 metadata 同實際 state 唔一致
3. **Privilege Escalation** — 攻擊者利用呢個 inconsistency，透過特定的 syscall 組合 overwrite 自身 process 嘅 cred structure，獲得 root 權限
重點係唔需要任何特殊硬體或 kernel module，一個普通 user account 就可以觸發，所以極度危險。
## 點樣 Check 自己係咪受 Fragnesia 影響？
最簡單嘅方法係用 terminal check kernel version：
# Check current kernel version
uname -r
# Check if your distro has released Fragnesia patch
grep -i fragnesia /var/log/dpkg.log 2>/dev/null || \
grep -i fragnesia /var/log/yum.log 2>/dev/null || \
grep -i fragnesia /var/log/pacman.log 2>/dev/null或者直接用呢個 Python script scan：
# Fragnesia vulnerability scanner
python3 -c "
import os, re
kernel_ver = os.popen('uname -r').read().strip()
print(f'Current kernel: {kernel_ver}')
# Affected versions: 5.15 - 6.8 (check your distro's advisory)
major, minor = map(int, kernel_ver.split('.')[:2])
if (major == 5 and minor >= 15) or (major == 6 and minor <= 8):
print('⚠️ POTENTIALLY VULNERABLE to Fragnesia!')
print('→ Run: sudo apt update && sudo apt upgrade (Debian/Ubuntu)')
print('→ Run: sudo yum update kernel* (RHEL/CentOS)')
else:
print('✅ Kernel version outside known Fragnesia affected range')
"另一個更準確嘅 check 法係嘗試 run PoC（proof of concept）：
# Download and compile Fragnesia PoC
git clone https://github.com/security-research/fragnesia-poc.git /tmp/fragnesia-poc
cd /tmp/fragnesia-poc && gcc -o fragnesia_check fragnesia_check.c
./fragnesia_check
# If you see "VULNERABLE" → PATCH IMMEDIATELY## Fragnesia 防護：即刻要做嘅 Step
### Fragnesia Step 1：Update Kernel（最重要）
# Ubuntu / Debian
sudo apt update && sudo apt install --only-upgrade linux-image-generic -y
sudo reboot
# RHEL / Rocky / AlmaLinux
sudo dnf update kernel -y
sudo reboot
# Arch Linux
sudo pacman -Syu linux
sudo reboot### Fragnesia Step 2：啟用 Kernel Hardening（臨時緩解）
喺未 reboot 之前，可以用 kernel 參數緩解 Fragnesia：
# Restrict unprivileged user namespaces
sudo sysctl -w kernel.unprivileged_userns_clone=0
# Increase memory overcommit accounting (mitigates trigger)
echo 2 | sudo tee /proc/sys/vm/overcommit_memory
# Make persistent
echo 'kernel.unprivileged_userns_clone=0' | sudo tee -a /etc/sysctl.d/99-fragnesia-mitigation.conf
sudo sysctl -p /etc/sysctl.d/99-fragnesia-mitigation.conf### Fragnesia Step 3：Audit System Logs
# Check for suspicious privilege escalations
sudo grep -i "fragnesia\|privilege.*escalat" /var/log/syslog /var/log/auth.log 2>/dev/null | tail -20
# Check recent sudo / su activity
sudo grep -E "sudo:|su:" /var/log/auth.log | tail -30
# Monitor for unusual setuid binaries
sudo find / -perm -4000 -newer /etc/passwd -type f 2>/dev/null### Fragnesia Step 4：部署 SELinux / AppArmor
# Check SELinux status
getenforce
# Should return "Enforcing"
# If disabled, enable it:
sudo sed -i 's/SELINUX=disabled/SELINUX=enforcing/' /etc/selinux/config
sudo touch /.autorelabel && sudo reboot## Fragnesia 時間線
| 日期 | 事件 |
|——|——|
| 2026-05-12 | 安全研究員發現 Fragnesia 漏洞 |
| 2026-05-13 | Red Hat、Canonical 收到 coordinated disclosure |
| 2026-05-14 | CVE 編號分配，主流 distro 開始 release patch |
| 2026-05-15 | 公開 PoC 釋出，建議全線更新 |
## Fragnesia 社群反應同業界動態
The Linux security community 對 Fragnesia 嘅反應好快。Red Hat 已經喺佢哋嘅 customer portal 發布咗詳細嘅 mitigation guide，而 Ubuntu 嘅 security team 亦都喺 USN 公告入面列出咗受影響嘅 package list。
Kernel developer Greg Kroah-Hartman 亦都 confirm 咗 stable kernel 已經 backport 咗 fix，所以只要你 update 到最新 stable kernel 就 safe。值得一提嘅係，Android 亦都受 Fragnesia 影響 — Google 嘅 Android security team 已經喺 2026-05 security bulletin 入面 include 咗 fix。
## Fragnesia 真實案例參考
雖然 漏洞剛剛被公開，但已經有 security researcher 喺 GitHub 放出完整嘅 PoC exploit code。據了解，部分 threat actor 已經開始將呢個漏洞整合入佢哋嘅 toolkit。如果你 run 緊 public-facing Linux server，千祈唔好等 — 而家就去 update。
有 security vendor 亦都開始 release 針對呢個漏洞嘅 detection rule，包括 CrowdStrike、SentinelOne 等 EDR 平台。如果你有用 EDR，可以 check 返 vendor portal 睇下有冇最新嘅 detection content。
## Fragnesia 補充：常見問題 FAQ
**Q: Fragnesia 會唔會影響 Container / Docker 環境？**
會。因為 Fragnesia 係 kernel-level 漏洞，任何 share host kernel 嘅 container 都有機會被 breakout。如果你行 privileged container，風險更高。建議即刻 update host kernel，同時確保 container runtime 都有最新 security patch。
**Q: 雲端 VM（AWS/GCP/Azure）受唔受 Fragnesia 影響？**
受。雲端 VM 都係行 Linux kernel，除非 cloud provider 已經自動幫你做咗 kernel live patch。建議 check 返你個 instance 嘅 kernel version，同埋睇返 cloud provider 嘅 security advisory。
**Q: 我嘅 embedded device / IoT 行 Linux，要點 check Fragnesia？**
如果個 device 嘅 kernel version 喺 affected range（5.15-6.8），而又冇得輕易 update，建議限制 local user access、disable unprivileged user namespaces、同埋聯絡 vendor 等 firmware update。
## Fragnesia 總結
呢個係近年 Linux kernel 最嚴重嘅本地提權漏洞之一，但好消息係各大 distro 已經出咗 patch。做 sysadmin 嘅你，最緊要係 **即刻 update kernel + reboot**，然後再補做 hardening。尤其係 production server，唔好慳嗰幾分鐘 downtime，一旦俾人 exploit 咗就唔係 downtime 咁簡單。
> 📌 **延伸閱讀：** 想了解更多 Linux 安全防護技巧，可以睇返我哋之前嘅 [SSH 安全加固教學](https://www.molious.com/?p=246) 同 [Rootless Container 安全指南](https://www.molious.com/?p=248)
#Fragnesia #Linux安全 #漏洞分析 #Root權限 #kernel漏洞 #資安防護
