TL;DR A researcher published RustyTux, a working proof-of-concept for a Linux kernel privilege escalation flaw. It abuses an ESP-in-TCP use-after-free race in the strparser and espintcp code. Both the vulnerability details and the exploit code are now public. No exploitation in the wild has been confirmed. Why This Linux Kernel Privilege Escalation Matters The espintcp module ships in kernels from many major distributions.

The Linux kernel's EspinTCP feature had a bug that caused data to be sent partially. This made the code more complicated and introduced errors.

The article introduces the Out-of-Cancel vulnerability class in the Linux kernel, where workqueue cancellation APIs fail to guarantee object lifetime. This race can lead to Use-After-Free bugs, demonstrated using espintcp (CVE-2026-23239).

引言 Fragnesia（编号 CVE-2026-46300），亦称 Copy Fail 3.0，是 Linux 内核 XFRM ESP-in-TCP 子系统中新发现的一个本地提权漏洞。与 Dirty Pipe 等传统漏洞不同，Fragnesia 不依赖任何竞争条件，能够实现确定性、高成功率的攻击，任何未经授权的本地用户均可借此稳定获取 root 最高权限。 学习目标 理解 Fragnesia 漏洞的技术原理及其与 Dirty Frag / Copy Fail 漏洞家族的关系 掌握漏洞的检测方法、临时缓解措施以及内核补丁更新流程 学会通过系统命令识别受攻击痕迹并实施应急响应 你应该了解 1. 漏洞技术剖析：XFRM ESP-in-TCP 子系统中的内存损坏 Fragnesia 的根源在于 Linux 内核 XFRM ESP-in-TCP 子系统（即 `espintcp` 模块）中处理共享页碎片时的逻辑缺陷。该子系统通过 TCP 协议处理 IPsec ESP（Encapsulating Security Payload）加密流量。 核心问题在于：当内核在处理 socket buffer（skb） 的合并操作时，未能正确传播 `SKBFL_SHARED_FRAG` 标记，导致系统“遗忘”某个内存碎片仍处于共享状态。当 TCP socket 切换到 `espintcp ULP` 模式时，内核会将已排入接收队列的文件页错误地视为 ESP 密文，并在页缓存（page cache）上原地执行 AES-GCM 解密操作。通过精心构造 IV nonce，攻击者可以将任意目标字节设置为任意值——每触发一次漏洞操作可改写一个字节。

In the Linux kernel, the following vulnerability has been resolved: xfrm: espintcp: do not reuse an in-progress partial send espintcp keeps a single in-flight transmit in ctx->partial. Before building a new sk_msg, espintcp_sendmsg() first tries to flush that state through espintcp_push_msgs(). For blocking callers, espintcp_push_msgs() may return success even when …