Linuxvärlden har drabbats av ännu en allvarlig kärnsårbarhet. Den nya bristen, kallad DirtyClone, är nära besläktad med DirtyFrag och kan i vissa fall låta en lokal angripare få root-behörighet på sårbara system. Även om felet inte kan utnyttjas direkt på distans är risken betydande, särskilt på system med containrar eller unprivileged user namespaces aktiverade.
När Linux-administratörer precis börjat lägga DirtyFrag bakom sig dyker nästa besläktade säkerhetsproblem upp. Den nya sårbarheten kallas DirtyClone och har fått beteckningen CVE-2026-43503.
Det handlar om en allvarlig brist i Linux-kärnan som i vissa fall kan låta en lokal angripare höja sina rättigheter till root. Det betyder att en vanlig användare på systemet, eller någon som lyckats köra kod med låg behörighet, kan få full kontroll över maskinen.
Inte fjärrstyrd – men ändå allvarlig
DirtyClone kan inte utnyttjas direkt över internet på samma sätt som en fjärrsårbarhet i en webbserver. Angriparen måste redan ha någon form av lokal åtkomst till systemet.
Det kan låta som en tröst, men i praktiken är det fortfarande allvarligt. Många attacker sker i flera steg. Först får angriparen in en fot i systemet, till exempel via ett kapat konto, en sårbar tjänst eller en container. Därefter används en lokal sårbarhet för att klättra vidare till administratörsnivå.
DirtyClone har fått CVSS 8.8, vilket räknas som hög allvarlighetsgrad.
Vad är det som går fel?
För att förstå DirtyClone behöver man känna till att Linux-kärnan hanterar nätverkstrafik i små databitar. Dessa ligger i så kallade socket buffers, eller sk_buff.
Enkelt uttryckt är det små paket med information som kärnan skickar runt internt när nätverkstrafik behandlas.
Problemet uppstår när vissa delar av kärnan inte bevarar viktig information om hur minnet bakom dessa paket får användas. En särskild markering, som talar om att en minnesbit är delad eller kopplad till filsystemets sidcache, kan tappas bort.
När den markeringen saknas kan senare kod i kärnan tro att minnet är säkert att skriva till, trots att det egentligen inte borde ändras direkt.
Resultatet blir att en angripare under rätt omständigheter kan ändra data i Linux sidcache.
Sidcache – datorns snabba minne för filer
Linux använder sidcache för att snabba upp filåtkomst. När en fil läses från disk sparas ofta en kopia i RAM-minnet. Nästa gång filen behövs kan systemet läsa den från minnet i stället för från den långsammare disken.
DirtyClone gör det möjligt att manipulera den här minneskopian av en fil. Det särskilt obehagliga är att angriparen kan påverka innehållet i en root-ägd och skrivskyddad fil i minnet, utan att själva filen på disken ändras.
Det här påminner om äldre Linux-sårbarheter där skillnaden mellan “det som finns på disk” och “det som just nu finns i minnet” kunnat utnyttjas för att lura systemet.
Koppling till nätverkskod och IPsec
DirtyClone finns i Linux-kärnans nätverksdelar. Särskilt nämns kodvägar som rör XFRM/IPsec och hantering av fragment i socket buffers.
IPsec används bland annat för krypterad nätverkstrafik och VPN-lösningar. XFRM är en del av Linux nätverksstack som hanterar transformering av paket, exempelvis kryptering och dekryptering.
Sårbarheten blir extra intressant på system där unprivileged user namespaces är aktiverade. Det är en Linux-funktion som gör att vanliga användare kan skapa isolerade miljöer där de får vissa behörigheter som normalt kräver root.
Det är praktiskt för containrar och sandboxing, men innebär också att sårbarheter i kärnan ibland blir lättare att utnyttja.
Kan DirtyClone användas för container escape?
Ja, i vissa scenarier kan DirtyClone eventuellt användas för att ta sig ut ur en container. Det beror på hur systemet är konfigurerat, vilka kernel-funktioner som är tillgängliga och vilka säkerhetslager som används.
Alla Linux-system är alltså inte lika sårbara. Risken påverkas av flera faktorer:
- vilken kärnversion som används
- vilka distributionens patchar som är installerade
- om unprivileged user namespaces är aktiverat
- vilka kernel-moduler som är laddade
- om systemet använder IPsec, RxRPC eller liknande funktioner
- om extra säkerhet som AppArmor, SELinux eller seccomp används
Det gör att DirtyClone inte är en enkel “alla Linux-maskiner faller direkt”-sårbarhet. Men den är tillräckligt allvarlig för att tas på största allvar.
DirtyClone, DirtyFrag och Fragnesia – varför så många namn?
Namngivningen kan vara förvirrande.
Sårbarheten är registrerad som CVE-2026-43503. JFrog beskriver exploitvarianten som DirtyClone, medan Ubuntu även använder namnet Fragnesia i sin hantering av problemet.
Det är alltså inte nödvändigtvis tre helt separata sårbarheter, utan olika namn och perspektiv på samma eller närliggande problemområde i Linux-kärnan.
DirtyClone hör dessutom till samma familj av buggar som DirtyFrag, men utnyttjar en annan väg genom kärnans nätverkskod. Det visar att tidigare fixar inte helt stängde alla möjliga angreppsvägar.
Ubuntu, Debian och Red Hat har uppdateringar
Ubuntu har släppt uppdateringar för flera stödda versioner av sin generiska Linux-kärna.
För standardkärnan gäller följande fixade versioner:
| Ubuntu-version | Fixad kernelversion |
|---|---|
| Ubuntu 26.04 LTS | 7.0.0-22.22 |
| Ubuntu 25.10 | 6.17.0-35.35 |
| Ubuntu 24.04 LTS | 6.8.0-124.124 |
| Ubuntu 22.04 LTS | 5.15.0-181.191 |
Den som kör molnvarianter eller specialkärnor bör kontrollera just sin kernelvariant. Det gäller till exempel AWS, Azure, GCP, Raspberry Pi, realtidskärnor och OEM-kärnor.
Debian följer också sårbarheten och listar uppdaterade paket för flera grenar, däribland Bullseye, Bookworm och Trixie.
Red Hat hanterar problemet som en del av DirtyFrag-familjen och beskriver det som lokala sårbarheter i nätverkssubsystemet som kan ge en angripare root-behörighet.
Vad ska man göra?
Det viktigaste rådet är enkelt:
Uppdatera kärnan och starta om datorn.
Att bara installera kernelpaketet räcker inte. Linux fortsätter nämligen att köra den gamla kärnan tills systemet startas om. Först efter omstart används den uppdaterade och korrigerade kärnan.
På Ubuntu kan man kontrollera aktuell kärna med:
uname -r
Efter uppdatering och omstart bör kommandot visa en kernelversion som innehåller fixen.
Tillfälliga skyddsåtgärder
Om man inte kan uppdatera direkt finns vissa tillfälliga skydd. Dessa bör dock användas med försiktighet eftersom de kan påverka legitima funktioner.
Exempel på möjliga åtgärder är att:
- stänga av unprivileged user namespaces
- blockera kernelmoduler som
esp4,esp6ochrxrpc - begränsa användares möjlighet att skapa nätverksrelaterade namespaces
- förstärka containerprofiler med seccomp, AppArmor eller SELinux
Men dessa lösningar är inte ersättning för en riktig kerneluppdatering. De är bara tillfälliga hinder.
Slutsats
DirtyClone är ännu en påminnelse om att Linux-kärnan är ett mycket komplext system där små detaljer i minneshantering kan få stora säkerhetskonsekvenser.
Sårbarheten kräver lokal åtkomst, men när den väl kan utnyttjas är konsekvensen allvarlig: en vanlig användare kan i vissa fall bli root.
För vanliga användare och administratörer är rådet tydligt: installera de senaste säkerhetsuppdateringarna från din Linuxdistribution och starta om systemet.
Det är först efter omstarten som skyddet faktiskt börjar gälla.
https://security-tracker.debian.org/tracker/CVE-2026-43503
https://bugzilla.redhat.com/show_bug.cgi?id=2480902
Teknisk faktaruta: DirtyClone
CVE: CVE-2026-43503
Namn: DirtyClone / Fragnesia
Allvarlighetsgrad: Hög
CVSS: 8.8
Typ: Lokal privilegiehöjning i Linux-kärnan
Påverkan: Kan ge angripare root-behörighet
Fjärrutnyttjande: Nej, kräver lokal åtkomst eller möjlighet att köra kod
Berörd del: Nätverkskod, socket buffer-fragment, XFRM/IPsec
Extra risk: System med unprivileged user namespaces aktiverade
Rekommenderad åtgärd:
Installera senaste kerneluppdateringen från din Linuxdistribution och starta om systemet.
Viktigt: En kerneluppdatering börjar inte skydda systemet förrän datorn har startats om.
