6 月 2 日，Canonical 紧急发布了针对 Ubuntu 26.04 LTS 及多个 LTS 版本的 Linux 内核安全更新（USN-8370-1、USN-8371-1），修复了包括 Dirty Frag、Fragnesia 以及 AppArmor 通知子系统 在内的数十个高危漏洞。这些漏洞可被本地攻击者用于提权至 root、逃逸容器，甚至导致内核崩溃。本文梳理受影响范围、漏洞机理与应急修复步骤。
🔓 漏洞全景：三组高危漏洞链
本次更新覆盖三大漏洞类别，总 CVE 数量超过 30 个。以下是分类梳理：
1. Dirty Frag + Fragnesia — 网络子系统提权
Dirty Frag（CVE-2026-43284、CVE-2026-43500 等）是 XFRM ESP-in-TCP 和 RxRPC 子系统中关于 共享页片段 的逻辑缺陷。攻击者可通过精心构造的网络操作触发该漏洞，实现 本地提权至 root，甚至 逃逸容器。与其高度关联的 Fragnesia（CVE-2026-43503、CVE-2026-46300）则是 XFRM ESP-in-TCP 处理 socket 缓冲区片段时的另一逻辑漏洞，影响同样严重。
这两组漏洞自 5 月初披露以来已有多家机构发布 PoC，本次 Canonical 的补丁是对此前不完整修复的全面补充和加固。
2. ptrace 退出竞争条件 — 敏感信息泄露
CVE-2026-46333 是 ptrace 子系统中一个 exit-race 竞争条件漏洞。当特权进程退出时，非特权本地攻击者可利用时间窗口读取进程残留数据，泄露 SSH 主机密钥和 /etc/shadow 内容。该漏洞已在 CloudLinux 等发行版中确认影响。
3. AppArmor 通知子系统 — 8 个独立漏洞
由 Tristan Madani 和 Trevor Lawrence 发现的 AppArmor 系列漏洞（影响内核 6.8/6.17/7.0）涵盖了内存泄漏（CVE-2026-47326）、空指针解引用（CVE-2026-47327）、越界读取（CVE-2026-47332）、持有锁错误（CVE-2026-47334）等多种类型。攻击者可利用这些漏洞造成内核崩溃（oops）、资源耗尽、内存损坏，甚至绕过 AppArmor 策略限制。
⚠️ 特别注意：内核 ABI 变更
本次更新涉及 不可避的 ABI 变更，更新后的内核版本号出现跳跃。这意味着：
- 如果安装了 第三方内核模块（如 NVIDIA 专有驱动、VirtualBox 内核模块、ZFS 等），必须重新编译并重装
- 标准 Ubuntu 安装（使用 linux-generic 等 meta 包）会在自动更新时处理此问题
- 手动管理内核模块的用户需格外留意
⚙️ 修复步骤
更新 & 重启
标准两步操作，在终端中依次执行：
# 第一步：更新内核包（Ubuntu 26.04 LTS / 24.04 LTS / 22.04 LTS 通用）
sudo apt update && sudo apt upgrade -y
# 第二步：重启系统加载新内核
sudo reboot验证当前内核版本
重启后，检查内核版本是否已更新至修复版本：
# 查看当前运行的内核版本
uname -r
# Ubuntu 26.04 LTS 用户应看到 >= 7.0.0-22-generic
# Ubuntu 24.04 LTS 用户应看到 >= 6.17.0-35-generic
# Ubuntu 22.04 LTS 用户（USN-8373-1）应通过 apt 确认重新编译第三方模块
如果有第三方内核模块，以 NVIDIA 驱动为例：
# 重新安装 NVIDIA 驱动（会自动重新编译内核模块）
sudo apt install --reinstall nvidia-driver-570
# 或者使用 DKMS 自动重建
sudo dkms autoinstall🎯 影响范围
本次更新涉及的主要 Ubuntu 版本和内核风格：
- Ubuntu 26.04 LTS (Resolute) — USN-8370-1（kernel 7.0.0-22）
- Ubuntu 25.10 (Questing) — USN-8371-1（kernel 6.17.0-35）
- Ubuntu 24.04 LTS (Noble) — USN-8371-1 / USN-8373-1
- Ubuntu 22.04 LTS (Jammy) — USN-8373-1
所有内核风格均受影响：Generic、AWS、GCP、Azure、Oracle、IBM、NVIDIA、Raspberry Pi、Real-time。
💡 快速参考
| 操作 | 命令 |
|---|---|
| 检查当前内核版本 | uname -r |
| 更新系统包 | sudo apt update && sudo apt upgrade -y |
| 查看待重启标记 | cat /var/run/reboot-required |
| 重启生效 | sudo reboot |
| 查看可用的内核包 | apt list --upgradable 2>/dev/null \| grep linux-image |
| DKMS 自动重建模块 | sudo dkms autoinstall |
| USN-8370-1 原文 | https://ubuntu.com/security/notices/USN-8370-1 |
Canonical 此次大规模内核安全更新覆盖了从 Dirty Frag 提权到 AppArmor 策略绕过等数十个高危漏洞，且涉及 ABI 变更。对于所有 Ubuntu 服务器和桌面用户，立即更新并重启是当前最高优先级操作。建议 sysadmin 在更新后重点检查第三方内核模块是否正常运行，防止因 ABI 变更导致驱动加载失败。
发表回复