Публикуван е proof-of-concept за уязвимост DirtyDecrypt, известна също като DirtyCBC, позволяваща на локален непривилегирован потребител да получи root права на някои Linux системи. Проблемът е в кода rxgk подсистема RxRPC и е свързан със записването в page cache поради отсъстваща проверка copy-on-write във функцията rxgk_decrypt_skb(). За публикацията на PoC на 18 май 2026 г. съобщи изданието BleepingComputer; самият PoC е публикуван в репозитория на екип V12.
RxRPC — това е мрежов протокол на ядрото на Linux върху UDP, предоставящ надежден транспорт за отдалечени операции. В документацията на ядрото е посочено, че AFS — Andrew File System — е пример за приложение, което използва RxRPC, а самият протокол поддържа преговори за сигурността на връзката. Именно в тази област попада RxGK, използван за защитен режим RxRPC/AFS.
Според описанието на V12, DirtyDecrypt е още един вариант на уязвимостите от класа CopyFail / Dirty Frag / Fragnesia. Всички те се въртят около сходна идея: неправилното управление с паметта на ядрото, page cache и буферите може да позволи на непривилегирован локален процес да повлияе на данните, които не трябва да са достъпни за запис. В случая на DirtyDecrypt става въпрос за "rxgk pagecache write" поради отсъстваща COW-защита в rxgk_decrypt_skb().
Екипът на V12 твърди, че е открил и съобщил за проблема на 9 май 2026 г., но отговарящите на ядрото заявили, че това е дубликат на вече коригирана грешка. След това изследователите публикували PoC, мотивирайки се с това, че поправката вече е в mainline ядрото.
С CVE ситуацията не изглежда напълно ясна. BleepingComputer съобщава, че към момента на публикуването няма отделен официален CVE точно за името DirtyDecrypt, но анализаторът Will Dormann свързва публикуваните детайли от V12 с CVE-2026-31635, коригирана в края на април. В базата данни NVD CVE-2026-31635 е описана като грешка в rxrpc: функцията rxgk_verify_response() неправилно е проверявала дължината на RESPONSE-аутентификатора, поради което твърде голям аутентификатор могъл да премине в rxgk_decrypt_skb() и да доведе кода до BUG_ON(len).
Тоест публичните публикации свързват DirtyDecrypt с CVE-2026-31635, но формалното описание на CVE в NVD все още изглежда по-уголемено и говори преди всичко за грешка в проверката на дължината в rxrpc, вместо да се отнася директно за alias DirtyDecrypt/DirtyCBC като отделна запись. Затова е по-коректно да кажем: DirtyDecrypt вероятно съответства или е тясно свързан с CVE-2026-31635, а не да твърдим, че това е официалното име на CVE.
За експлоатация е нужно ядро с активирана опция CONFIG_RXGK, която добавя поддръжка за RxGK за клиент AFS и мрежов транспорт. Това значително стеснява обхвата на засегнатите системи: преди всичко става дума за дистрибуции, които бързо следват upstream ядрото, включително Fedora, Arch Linux и openSUSE Tumbleweed. Въпреки това BleepingComputer подчертава, че публикуваният V12 PoC е тестван само на Fedora и mainline ядрото.
DirtyDecrypt се появи на фона на цяла серия близки по клас Linux LPE уязвимости. По-рано бяха разкрити Copy Fail в algif_aead, Dirty Frag в мрежовите компоненти, а след това Fragnesia в XFRM ESP-in-TCP. Microsoft описва Dirty Frag като локално повишаване на привилегиите чрез компонентите esp4, esp6 и rxrpc, позволяващо на атакуващия след получаване на локален достъп да вдигне правата си до root и да се закрепи в системата.
Практическата опасност от такива грешки е, че те често се използват след първоначален пробив: например, след компрометиране на SSH акаунт, web shell, уязвим контейнер или нископравен потребител на услугата. Получавайки root, атакуващият може да деактивира защитните средства, да чете тайни, да променя дневници, да установява постоянство и да напредва в инфраструктурата.
На потребителите на потенциално засегнати rolling-release дистрибуции се съветва да инсталират последните актуализации на ядрото. За системи, където незабавното обновление е невъзможно, в публикациите се споменават временни мерки като деактивиране на неизползваеми rxrpc модули и свързаните компоненти, но такива обходни решения могат да нарушат AFS и част от IPsec/VPN сценарии, така че да се прилагат единствено след проверка на влиянието им върху конкретната система.
За повечето настолни и сървърни инсталации рискът вероятно е по-нисък в сравнение с Copy Fail: DirtyDecrypt изисква конкретна конфигурация на ядрото и локално изпълнение на код. Въпреки това за Fedora, Arch Linux, openSUSE Tumbleweed и други системи с бързо обновление на ядрото проблемът е важен: това вече не е теоретичен отчет, а уязвимост с публикуван PoC и ясно определен път към повишаване на привилегиите.
Източник: linux.org.ru
