«DirtyClone» (CVE-2026-43503): una falla del kernel Linux concede acceso root sin dejar rastro

JFrog publicó el exploit de una falla del kernel Linux que escala a root modificando la caché de páginas sin tocar el disco, evadiendo el monitoreo de integridad de archivos.

JFrog Security Research publicó la cadena de explotación de DirtyClone (CVE-2026-43503), la primera demostración pública de un ataque funcional contra esta falla de alta severidad del kernel Linux. El bug, con puntaje CVSS de 8.8, permite a cualquier usuario local escalar a privilegios de root y fue corregido el 24 de mayo, poco después de reportarse a los mantenedores del kernel.

El origen es técnico pero contundente: cuando el kernel copia internamente un paquete de red, dos funciones auxiliares pierden una bandera de seguridad que marca la memoria del paquete como compartida con un archivo en disco. Esa bandera ausente es toda la vulnerabilidad. DirtyClone pertenece a la familia DirtyFrag, una clase creciente de bugs de corrupción de memoria que convierten una función de red de copia cero en una primitiva de escritura.

Lo que la hace peligrosa es su sigilo: el ataque modifica la caché de páginas —la copia en memoria de un archivo— sin escribir nada en disco. Como el binario en disco queda intacto, las herramientas de integridad que calculan hashes de archivos lo reportan como limpio aun después del compromiso, y los registros de auditoría no muestran nada. Debian, Ubuntu y Fedora son vulnerables en su configuración por defecto porque habilitan espacios de nombres de usuario sin privilegios.

El ángulo de Tabuga Intelligence

El parche existe en la rama principal de Linux desde el 21 de mayo, pero muchas distribuciones aún no lo han desplegado, lo que deja expuestos servidores en la nube, clústeres de Kubernetes y runners de CI mientras ya circula una ruta pública a root. Para operaciones de TI en la región, la prioridad es clara: aplicar las actualizaciones de kernel de inmediato y, donde no sea posible, deshabilitar los espacios de nombres de usuario sin privilegios. La capacidad de evadir el monitoreo de integridad obliga además a no confiar solo en hashes de disco y a reforzar la detección a nivel de kernel.

Fuente: The Hacker News (25 de junio de 2026).