Rundă Securitate — 30 iunie 2026: DirtyClone pe Linux și supply chain attack cu cod ascuns în blockchain

Două vulnerabilități descoperite în această săptămână de JFrog Security Research ilustrează o tendință îngrijorătoare: atacurile moderne devin din ce în ce mai greu de detectat — modificări invizibile în memorie, cod ascuns în tranzacții blockchain, activat automat din editorul tău de cod. Iată ce trebuie să știi și ce trebuie să faci acum.

DirtyClone (CVE-2026-43503) — root pe Linux prin pachete de rețea

JFrog Security Research a publicat pe 25 iunie 2026 un exploit demonstrativ (PoC) pentru o nouă vulnerabilitate de tip Local Privilege Escalation din kernel-ul Linux, botezată DirtyClone. Primește un scor CVSS de 8.8 (High) și aparține familiei DirtyFrag — bug-uri de corupere a memoriei care afectează modul în care kernel-ul gestionează buffer-ele de socket.

Tehnic: funcția __pskb_copy_fclone() elimină flag-ul de siguranță SKBFL_SHARED_FRAG în momentul clonării pachetelor de rețea via subsistemul XFRM/IPsec. Rezultatul: un utilizator local neprivilegiat poate modifica page cache-ul (copia în memorie a unui fișier de pe disk) fără a scrie nimic pe disk. Instrumentele clasice de monitorizare a integrității fișierelor raportează binarele ca nemodificate. Audit log-urile kernel nu înregistrează nimic. Atacul este practic invizibil pentru tooling-ul de securitate convențional.

Distribuțiile afectate sunt cele cu unprivileged user namespaces activate implicit — configurația standard pe majoritatea sistemelor moderne:

Patch-ul a fost integrat în mainline pe 21 mai 2026 (tag Linux v7.1-rc5), iar distribuțiile au lansat actualizările în valuri. Dacă nu poți aplica imediat patch-ul, mitigarea fără repornire pe Debian/Ubuntu este: sysctl -w kernel.unprivileged_userns_clone=0. Alternativ, dacă nu folosești IPsec, dezactivează modulele esp4, esp6 și rxrpc. Nicio confirmare publică de exploatare în sălbăticie — dar PoC-ul public din 25 iunie reduce dramatic fereastra de timp până la primul atac real. Actualizează acum.

Supply chain npm/Go — cod malițios ascuns în tranzacții blockchain, rulat din VS Code

Tot JFrog Security Research a descoperit un atac de supply chain cu un nivel de sofisticare rar întâlnit: cod malițios ascuns în tranzacții de pe blockchain-ul TRON, activat automat când deschizi un proiect în Visual Studio Code.

Pachetele npm compromise sunt html-to-gutenberg v4.2.11 și fetch-page-assets v1.2.9 — uploadate pe 25 mai 2026, eliminate ulterior din registru. Nextron Research a identificat suplimentar 16 pachete Go cu același malware, injectate în versiunile legitime ale unor pachete reale.

Lanțul de atac funcționează astfel:

1. La npm install, pachetul creează un task VS Code ascuns cu numele eslint-check și opțiunea runOn: folderOpen — se activează automat la fiecare deschidere a proiectului
2. Task-ul descarcă un fișier deghizat ca fișier font
3. Fișierul „font" contactează blockchain-ul TRON (cu Aptos ca fallback) și preia un payload JavaScript criptat ascuns în datele tranzacțiilor — rezistent la takedown, pentru că nu există niciun server clasic de Command & Control de eliminat
4. JS-ul decriptat lansează un backdoor Socket.io cu acces complet: shell, clipboard, filesystem, upload de fișiere, control procese
5. Simultan, un Python loader instalează un infostealer care fură credențiale

Ce se fură: credențiale GitHub PAT, chei AWS/GCP/Azure, Kubernetes tokens, chei SSH, conținutul clipboard-ului și fișiere arbitrare de pe sistem.

Dacă ai rulat npm install după 19 mai 2026 și oricare dintre aceste pachete era în dependențele tale — direct sau tranzitiv — presupune că sistemul este compromis. Rotește imediat: GitHub PATs, credențiale AWS/GCP/Azure, Kubernetes tokens, chei SSH. Verifică toate task-urile VS Code din folderele de proiecte pentru intrări necunoscute.

Concluzie: monitorizarea clasică nu mai ajunge

Ambele atacuri din această săptămână — descoperite de același grup, JFrog Security Research — au un numitor comun: sunt concepute să ocolească tooling-ul de securitate tradițional. DirtyClone nu lasă urme pe disk. Supply chain-ul npm/Go nu folosește servere C2 — folosește blockchain-ul, imposibil de blocat prin liste de IP-uri sau domenii. Securitatea modernă necesită inspecție comportamentală la nivel de memorie și rețea, nu doar monitorizarea integrității fișierelor și filtrarea DNS.