摘要

本文写作时间：2026 年 5 月 8 日。

DirtyFrag 是近期公开的一组 Linux 内核安全风险，可能在特定条件下导致本地权限提升。该问题与 Linux 内核中的文件缓存、网络协议处理和高性能数据传输机制有关。

对于普通用户来说，最重要的是两点：

• 及时关注系统厂商发布的内核安全更新。
• 对服务器、容器宿主机、开发测试机和信创系统进行风险排查。

本文不展开攻击技术细节，仅提供风险说明、排查方向和临时缓解建议。

一、漏洞来源

DirtyFrag 由安全研究员 Hyunwoo Kim 公开披露。根据公开信息，该问题涉及 Linux 内核中的多个子系统，在特定环境下可能被本地低权限用户触发，造成权限提升风险。

公开资料显示，DirtyFrag 相关信息在 2026 年 4 月底至 5 月初陆续被报告、修复和披露。由于相关技术细节已经公开，建议管理员尽快关注发行版或设备厂商公告。

二、为什么需要关注

DirtyFrag 之所以需要关注，主要有以下原因：

1. 影响对象是 Linux 内核，属于系统底层安全风险。
2. 风险触发后可能导致本地权限提升。
3. 多用户服务器、开发机、容器宿主机等环境更需要重视。
4. 发行版内核常常会回补补丁，不能只看内核版本号判断。
5. 信创操作系统大多基于 Linux 内核，也应纳入排查范围。

如果系统中存在普通用户登录、代码构建、容器运行、脚本执行、Web 服务账号等场景，应优先排查。

三、可能受影响的系统

建议以下系统纳入排查范围：

• Ubuntu
• Debian
• RHEL
• CentOS Stream
• Fedora
• openSUSE
• AlmaLinux
• 统信 UOS
• 麒麟 / 银河麒麟 / openKylin
• openEuler 及其衍生发行版
• Anolis OS / 龙蜥
• Alibaba Cloud Linux
• TencentOS Server
• 其他基于 Linux 内核的服务器、桌面和云原生系统

是否受影响需要结合以下信息判断：

• 当前运行内核版本。
• 发行版安全公告。
• 厂商补丁说明。
• 系统是否启用了相关内核模块和功能。

对于信创系统，不建议简单套用上游 Linux 内核版本结论，应以厂商公告和当前运行内核补丁状态为准。

四、简单检查方法

以下命令仅用于初步排查，不会触发漏洞。

1. 查看内核版本

uname -a

记录内核版本后，对照发行版或厂商安全公告确认是否已修复。

2. 检查相关模块

lsmod | egrep 'esp4|esp6|rxrpc'

如果有输出，说明系统加载了相关功能模块，需要进一步确认补丁状态。

3. 检查模块加载策略

modprobe -n -v esp4
modprobe -n -v esp6
modprobe -n -v rxrpc

如果输出中出现 /bin/false，通常表示模块已被限制加载。

4. 检查用户命名空间配置

sysctl kernel.unprivileged_userns_clone 2>/dev/null
sysctl user.max_user_namespaces 2>/dev/null

如果允许普通用户创建 user namespace，建议结合业务情况评估是否需要限制。

注意：以上结果只能说明是否存在相关暴露面，不能直接等同于系统一定存在漏洞。

五、临时缓解建议

最优先的处理方式是安装发行版或厂商提供的安全更新，并重启进入新内核。

如果短时间内无法升级，且业务不依赖相关功能，可考虑临时限制相关模块：

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf"

如果业务不依赖普通用户创建 user namespace，也可结合实际情况进行限制：

sudo sysctl -w kernel.unprivileged_userns_clone=0
sudo sysctl -w user.max_user_namespaces=0

重要提醒：

• 以上操作可能影响 IPsec、AFS、容器运行时、沙箱程序或开发环境。
• 生产环境执行前应先在测试环境验证。
• 临时缓解不能替代正式补丁。

六、排查建议

管理员可重点关注以下系统：

• 允许多人登录的 Linux 服务器。
• 容器宿主机和云主机。
• CI/CD Runner 和代码构建机。
• 开发测试环境。
• 暴露 Web 服务、脚本执行或任务调度功能的主机。
• 政企和信创环境中的 Linux 主机。

建议处理流程：

1. 统计资产和内核版本。
2. 查询发行版或厂商安全公告。
3. 初步检查相关模块和配置。
4. 对高风险主机优先安装补丁。
5. 对暂时无法升级的主机采取临时缓解。
6. 完成升级后重启并复查。

七、总结

DirtyFrag 是一类需要关注的 Linux 内核本地权限提升风险。对于企业和个人用户来说，不需要关注复杂的攻击技术细节，重点是确认系统是否受影响、是否已有补丁、是否存在不必要的暴露面。

建议近期对 Linux 服务器、容器宿主机、开发测试机以及信创操作系统进行一次集中排查，并优先完成内核安全更新。

参考资料

• DirtyFrag GitHub: https://github.com/V4bel/dirtyfrag
• DirtyFrag technical write-up: https://github.com/V4bel/dirtyfrag/blob/master/assets/write-up.md