紧急安全更新丨重要漏洞，请尽快修复（含详细修复方法）
近期，统信安全应急响应中心（USRC）监控到 Linux 内核存在两个高危本地提权漏洞，统称为 “Fragnesia” 和 “ssh-keysign-pwn”。
鉴于其严重性和广泛影响，统信软件建议广大客户根据 USRC 提供的漏洞修复解决方案进行防护，以确保桌面、服务器操作系统安全。
🔒 漏洞简介
◉ Fragnesia
漏洞编号：CVE-2026-46300
漏洞描述：漏洞根源位于内核的套接字缓冲区管理代码。函数 skb_try_coalesce() 在合并碎片缓冲区时，未能正确传递 SKBFL_SHARED_FRAG 共享碎片标记，导致内核“遗忘”了某个内存碎片仍在被其他进程共享，Fragnesia 利用 Linux 内核 XFRM ESP-in-TCP 子系统的逻辑缺陷，可实现本地提权。
漏洞等级：高危
利用条件：攻击者需具备本地普通用户权限即可发起攻击
受影响版本范围：桌面专业版及服务器各版本均受影响
◉ ssh-keysign-pwn
漏洞编号：CVE-2026-46333
漏洞描述：漏洞位于 Linux 内核 ptrace 访问检查逻辑，核心问题与 ptrace_may_access()、任务退出流程 do_exit()、以及 dumpable 检查有关，漏洞发生在进程退出路径中。进程退出时，内核会先释放/分离进程的内存描述符 mm，之后才关闭文件描述符表。也就是说，在一个很短的时间窗口内，一个特权进程可能已经没有 mm，但它打开的文件描述符还存在。受影响内核中，ptrace_may_access() 在目标任务 mm == NULL 时会跳过 dumpable 保护检查。攻击者可以利用这个竞争窗口，通过 pidfd_getfd(2) 从正在退出的特权进程中复制文件描述符。
漏洞等级：高危
利用条件：攻击者需具备本地普通用户权限即可发起攻击
受影响版本范围：桌面专业版及服务器各版本均受影响
🛠️ 漏洞修复方案
统信 UOS 已在**时间合入官方漏洞补丁，并推送补丁包至系统仓库，您可通过升级内核至安全版本，以修复漏洞！
安全公告地址：https://src.uniontech.com/，根据漏洞编号 CVE-2026-46333 或 CVE-2026-46300 搜索漏洞信息。
💡注：“CVE-2026-46333”和“CVE-2026-46300”的补丁相同，只用安装一个，该补丁也包含CVE-2026-31431、CVE-2026-43284、CVE-2026-43500漏洞修复。
◉ 外网在线升级修复步骤
1. 桌面操作系统
- 控制中心 -- 更新 -- 更新设置 -- 打开系统更新、安全更新
- 点击“检查更新” -- “全部下载”
- 点击“立即安装”
- 安装完毕点击“立即重启”
2. 服务器操作系统
服务器 D 版
执行以下命令更新内核及相关组件：
AMD64：
sudo apt update && sudo apt install linux-image-4.19.0-server-amd64 linux-headers-4.19.0-server-amd64
ARM64：
sudo apt update && sudo apt install linux-image-4.19.0-arm64-server linux-headers-4.19.0-arm64-server
更新完成后请执行 sudo reboot 重启系统。
其他服务器版本（yum）
sudo yum update-minimal --cve CVE-2026-46333 （或 CVE-2026-46300）
sudo yum update kernel
更新完成后请执行 sudo reboot 重启系统。
◉ 内网离线补丁修复步骤
离线补丁下载地址：https://src.uniontech.com/，根据漏洞编号搜索，选择系统版本及架构下载安装。
1. 桌面专业版离线补丁安装
在USRC下载对应架构的离线补丁升级工具，双击添加执行权限，输入用户密码，勾选“我已阅读并知晓”，点击“开始升级”，升级后自动重启。
2. 服务器版离线补丁安装
将下载的内核补丁包放入空文件夹，执行以下命令安装：
sudo dpkg -i *.deb
其他服务器版本：
sudo rpm -ivh --force --nodeps *.rpm
安装完成后务必执行 sudo reboot 重启系统，使新内核生效。
◉ 修复验证
执行 uname -a 命令查看当前系统内核版本，若大于等于 USRC 上的修复版本，则漏洞已修复，否则漏洞未修复。
⚠️ 临时方案
◉ CVE-2026-46300（与 Dirty Frag 缓解方案相同）
💡注意：1. 以下措施会禁用 esp4、esp6、rxrpc 模块，可能影响 IPsec ESP、部分 VPN/IPsec 业务、RxRPC/AFS 相关能力。生产环境操作前应完成业务影响评估。2. 步骤不适用华为机型，华为线所有机型应按“华为线机型缓解措施”执行。
禁止后续加载模块：
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' | sudo tee /etc/modprobe.d/disable-copy-fail-2.conf
卸载已加载模块：
sudo rmmod esp4 esp6 rxrpc 2>/dev/null
验证配置： grep -rE 'install (esp4|esp6|rxrpc) /bin/false' /etc/modprobe.d/
配置完成后，服务器重启后相关模块也不会被再次加载。
清理已被污染的 page cache： 可执行 sync && echo 3 | sudo tee /proc/sys/vm/drop_caches 并配合 killall su 清理。
🔁 回滚方式 (通用)
sudo rm /etc/modprobe.d/disable-copy-fail-2.conf && sudo modprobe esp4 esp6 rxrpc
📱 华为线机型缓解措施
涉及华为线机型：pgv(w515、w585) pgw(w525) klu(L410) klv(L420、L540) pgx(w515x&w585x) flmx(L420x、L540x) pgy(w515y&w585y)
修改 /etc/default/grub 在内核启动参数中加入：initcall_blacklist=esp4_init,esp6_init,af_rxrpc_init
sudo update-grub && sudo reboot
验证：cat /proc/cmdline | grep 'initcall_blacklist=esp4_init,esp6_init,af_rxrpc_init'
◉ CVE-2026-46333 临时缓解
如果暂时无法重启系统，可立即收紧 Yama ptrace 限制，阻断已知公开利用路径：
sudo sysctl -w kernel.yama.ptrace_scope=3
如需长期生效：
echo 'kernel.yama.ptrace_scope = 3' | sudo tee /etc/sysctl.d/99-cve-2026-46333.conf
💡重要提示：设置 ptrace_scope=3 会禁用所有 ptrace attach 操作，包括 gdb、strace -p、perf 等调试手段。
内容来源：安全技术部 | 编辑审校：公共事务部
