# Dirty Frag: dos errors del kernel Linux permeten escalar a root i com tancar-los a Ubuntu

- **Publicat el:** 2026-05-08
- **Categoria:** Notícies
- **Pàgina original:** https://linuxgratis.com/ca/articles/dirty-frag-kernel-linux-escalada-privilegios-mitigacion

Canonical publica pedaços per a Dirty Frag, dues vulnerabilitats d'escalada local de privilegis als mòduls ESP d'IPsec i RxRPC. Afecten des d'Ubuntu 18.04 fins a 26.04 LTS.

---

El 7 de maig de 2026 es van fer públiques dues vulnerabilitats d'escalada local de privilegis al kernel Linux que Canonical agrupa sota el nom Dirty Frag. Totes dues permeten que un usuari sense privilegis aconsegueixi root a la màquina, així que no són cap minúcia. Si administres servidors o equips amb Ubuntu, val la pena revisar-les avui mateix.

La primera és **CVE-2026-43284**, amb una puntuació CVSS 3.1 de 8.8 (alta). Afecta els mòduls ESP (Encapsulating Security Protocol), els que es fan servir en muntatges d'IPsec com StrongSwan. La segona és **CVE-2026-43500**, amb CVSS 7.8 (alta), i toca els mòduls RxRPC, el protocol que dona suport a l'Andrew File System (AFS) per a operacions de fitxers distribuïts.

Totes dues comparteixen el mateix patró d'explotació local: algú que ja té un compte al sistema, encara que sigui sense privilegis, pot aprofitar l'error en aquests mòduls i acabar executant codi com a root. No cal accés físic ni cadenes d'exploits remots complicades.

## A qui afecta

Canonical ha publicat pedaços per a tot el ventall de versions amb suport:

- **Bionic Beaver (18.04 LTS)** — kernels Linux 4.15 i 5.4 HWE
- **Focal Fossa (20.04 LTS)** — kernels 5.4 i 5.15 HWE
- **Jammy Jellyfish (22.04 LTS)** — kernels 5.15 i 6.8 HWE
- **Noble Numbat (24.04 LTS)** — kernels 6.8 i 6.17 HWE
- **Questing Quokka (25.10)** i **Resolute Raccoon (26.04 LTS)**

Trusty Tahr i Xenial Xerus queden marcades com a no afectades. Si encara fas servir una d'aquestes, tens prou motius per plantejar-te l'actualització de totes maneres.

## Què fer

La via directa és aplicar les actualitzacions de seguretat del kernel:

```
sudo apt update && sudo apt upgrade
```

Com que es tracta del kernel, després cal reiniciar perquè el pedaç tingui efecte:

```
sudo reboot
```

Si per algun motiu no pots aplicar el pedaç de seguida, posem un servidor que no pots reiniciar ara, Canonical proposa bloquejar manualment els mòduls vulnerables mentrestant. Es fa creant un fitxer dins de `/etc/modprobe.d/`:

```
echo "install esp4 /bin/false" | sudo tee /etc/modprobe.d/dirty-frag.conf
echo "install esp6 /bin/false" | sudo tee -a /etc/modprobe.d/dirty-frag.conf
echo "install rxrpc /bin/false" | sudo tee -a /etc/modprobe.d/dirty-frag.conf
```

Després regeneres l'initramfs per a tots els kernels instal·lats:

```
sudo update-initramfs -u -k all
```

I descarregues els mòduls que ja estiguessin actius a la memòria:

```
sudo rmmod esp4 esp6 rxrpc 2>/dev/null
```

Per comprovar si encara estan carregats:

```
grep -qE '^(esp4|esp6|rxrpc) ' /proc/modules && echo "Affected modules are loaded" || echo "Affected modules are NOT loaded"
```

Tingues present que bloquejar esp4 i esp6 trenca IPsec, i descarregar rxrpc deixa AFS sense servei. És una mesura temporal: si depens d'aquests serveis, la solució de debò és aplicar el pedaç i reiniciar.

Qui vulgui repassar la resta de mitigacions de kernel d'aquesta tanda també pot mirar [Fragnesia (CVE-2026-46300)](/ca/articles/cve-2026-46300-fragnesia-skb-try-coalesce-root-local-kernel-linux), que comparteix part del problema als mòduls ESP. Tota la informació sobre la distribució és a la [fitxa d'Ubuntu](/ca/ubuntu).

## Font

[Dirty Frag Linux kernel local privilege escalation vulnerability mitigations](https://ubuntu.com/blog/dirty-frag-linux-vulnerability-fixes-available), publicat al blog de Canonical.