[ Início ]

Estamos cientes da inclusão da CVE-2026-53362, nesta quinta-feira (27/08), no catálogo Known Exploited Vulnerabilities (KEV) da CISA, que evidencia a exploração em ambientes reais. Conhecida pelo apelido “Frame Gap“, a falha já havia sudo abordada no Diário do Analista em uma publicação sobre uma série de correções de segurança no Kernel Linux.

A vulnerabilidade permite a elevação de privilégios locais em sistemas Linux com IPv6 habilitado, podendo transformar um acesso de usuário comum em acesso com privilégios de root ou mesmo escapar de containers, possibilitando acesso ao host subjacente.

Contexto e Origem

A CVE-2026-53362 descreve uma vulnerabilidade no subsistema de rede IPv6 do Kernel Linux, especificamente na função __ip6_append_data(), uma das principais funções no pipeline de fragmentação de pacotes, na qual um erro de contabilidade de memória relacionado ao parâmetro fraggap leva a um heap out-of-bounds write.

Segundo relatórios de segurança, um pesquisador independente conhecido como “qwerty-po” submeteu um proof-of-concept (PoC) em julho de 2026 demonstrando a exploração do bug no caminho de fragmentação IPv6, levando à elevação de privilégios. A vulnerabilidade foi publicada oficialmente no NVD em 4 de julho de 2026, com atualizações posteriores refletindo o aumento de criticidade e o interesse da comunidade de segurança em torno do impacto em ambientes com containers e cargas de trabalho em nuvem.

No dia 27 de agosto de 2026, a CISA adicionou a CVE-2026-53362 ao seu catálogo de Known Exploited Vulnerabilities (KEV), reconhecendo que a falha está sendo explorada ativamente em ataques. Essa publicação exige ação prioritária de correção e verificação conforme a Binding Operational Directive 26-04. com a necessidade de correção pelas agências federais norte-americanas até 30 de agosto de 2026.

Exploração da Vulnerabilidade

A exploração começa quando um usuário local abre um socket UDPv6 e utiliza uma combinação específica de flags, em especial MSG_MORE juntamente com MSG_SPLICE_PAGES, em cenários de fragmentação de pacotes IPv6. Nessas condições, o kernel calcula incorretamente o tamanho das áreas linear e paginada do buffer (skb), fazendo com que os bytes relativos ao fraggap sejam copiados além do limite previsto e sobrescrevam a estrutura skb_shared_info na memória do kernel.

Essa sobrescrita controlada permite que o atacante manipule metadados de fragmentos, como nr_frags, e realize condições de escrita arbitrária em memória do kernel, o que pode resultar em elevação de privilégios para root, corrupção de dados ou negação de serviço. Alguns relatos mostram que a falha tem sido usada para escapar de containers em ambientes Linux, permitindo que um processo inicialmente restrito dentro de um container obtenha acesso total ao host.

Além disso, um relatório recente descreve que agentes automatizados exploraram a CVE-2026-53362 em um ambiente de desenvolvimento ao identificar a versão vulnerável do kernel, baixar um exploit público, adaptá-lo ao contexto específico e utilizá-lo para escapar de um container e obter acesso administrativo ao nó de trabalho.

Versões Afetadas

Nos kernels mainline, a vulnerabilidade foi introduzida na série 6.0 do Linux e afeta diversos lançamentos da linha 6.x, com impacto especial em distribuições que adotaram esses kernels em ambientes de produção. Segundo análises, o problema está presente em versões de kernel utilizadas por distribuições modernas, incluindo Ubuntu/Debian com kernels mainline 6.x, RHEL 10/CentOS 10, AlmaLinux/Rocky Linux 10.x, além de ambientes de Azure Linux 3.0 e Amazon Linux 2023 que executem kernels vulneráveis.

As versões principais não vulneráveis ou já corrigidas, conforme documentação de segurança e notas de lançamento, incluem: 6.1.177+, 6.6.144+, 6.12.95+, 6.18.38+ e 7.1.3+, bem como versões subsequentes da série 7.x com o patch incorporado.

Mitigações

A principal recomendação é atualizar o kernel para uma versão corrigida, garantindo que o patch que ajusta o cálculo em __ip6_append_data() esteja aplicado, de modo que os bytes de fraggap sejam contabilizados corretamente e não resultem em escrita fora dos limites.

Quando uma atualização imediata não é possível, uma mitigação emergencial consiste em desabilitar o IPv6 em sistemas onde isso não cause impacto significativo na operação, reduzindo o vetor de ataque associado ao subsistema vulnerável. Outra medida temporária sugerida por alguns boletins é restringir o uso de sockets de rede por usuários não privilegiados, especialmente em ambientes multiusuário, embora isso possa afetar funcionalidades legítimas de aplicações.

Referências

[1] NIST NVD. CVE-2026-53362 Detail. Disponível em: <https://nvd.nist.gov/vuln/detail/cve-2026-53362>. Acesso em: 28 de agosto de 2026.

[2] CISA. CISA Adds Three Known Exploited Vulnerabilities to Catalog. Disponível em: <https://www.cisa.gov/news-events/alerts/2026/08/27/cisa-adds-three-known-exploited-vulnerabilities-catalog>. Acesso em: 28 de agosto de 2026.

[3] Vulnerability Lookup. CVE-2026-53362. Disponível em <https://vulnerability.circl.lu/vuln/CVE-2026-53362>. Acesso em: 28 de agosto de 2026.

[4] Cybersecurity Testing and Cyber Defense. Cybersecurity Announcement: Linux Kernel Privilege Escalation to Root Vulnerability – IPv6 Frag Escape/Frag Gap (CVE-2026-53362, CVE-2026-53366). Disponível em: <https://kb.wisc.edu/tcd/162871>. Acesso em: 28 de agosto de 2026.

[5] Eduard Kovacs. OpenAI Agents Exploited Linux Kernel Flaw on Company’s Own Systems. Disponível em: <https://www.securityweek.com/openai-agents-exploited-linux-kernel-flaw-on-companys-own-systems/>. Acesso em: 28 de agosto de 2026.