Публикувано е доказателство за концепцията за DirtyDecrypt, нова LPE уязвимост в ядрото. Linux

Публикувано е доказателство за концепцията на уязвимостта. МръсноДекриптиране, известен също като Мръсен CBC, което позволява на локален непривилегирован потребител да получи root права на някои системи LinuxПроблемът е в кода. rxgk подсистеми RxRPC и е свързано със запис в кеша на страници поради липсваща проверка за копиране при запис във функцията rxgk_decrypt_skb(). Документът за съответствие (PoC) е публикуван на 18 май 2026 г. от BleepingComputer; самият PoC е публикуван в V12 екипни хранилища.

RxRPC е мрежов протокол на ядрото. Linux през UDP, осигурявайки надежден транспорт за отдалечени операции. Документацията на ядрото изрично посочва, че AFS — Andrew File System е пример за приложение, което използва RxRPC, а самият протокол поддържа договаряне на сигурността на връзката. Тук влиза в действие RxGK, използван за защитения режим на RxRPC/AFS.

Според описанието на V12, DirtyDecrypt е друг вариант на класа уязвимости. CopyFail / Мръсен фрагмент / ФраннезияВсички те се въртят около подобна идея: неправилното манипулиране на паметта на ядрото, кеша на страниците и буферите може да позволи на непривилегирован локален процес да повлияе на данни, които би трябвало да не могат да се записват. В случая с DirtyDecrypt, това е „запис в rxgk pagecache“ поради липсващата COW защита в rxgk_decrypt_skb().

Екипът на V12 твърди, че е открил и съобщил за проблема. 9 май 2026 година, но разработчиците на ядрото отговориха, че това е дубликат на вече отстранен бъг. След това изследователите публикуваха доказателство за концепцията, твърдейки, че поправката вече е в основното ядро.

Ситуацията с CVE не изглежда съвсем ясна. BleepingComputer съобщава, че към момента на публикуване няма отделен официален CVE за името DirtyDecrypt, но анализаторът Уил Дорман свързва подробностите, публикувани от V12, с CVE-2026 31635-, поправено в края на април. NVD описва CVE-2026-31635 като грешка в rxrpc: функцията rxgk_verify_response() неправилно е проверила дължината на RESPONSE автентификатора, което може да доведе до предаване на твърде дълъг автентификатор на rxgk_decrypt_skb() и причиняване на неуспех на кода BUG_ON(len).

Тоест, публично достъпните публикации свързват DirtyDecrypt с CVE-2026 31635-, но официалното описание на CVE в NVD в момента изглежда по-тясно и се отнася предимно до грешка при проверка на дължината в rxrpc, а не директно до псевдонима DirtyDecrypt/DirtyCBC като отделен запис. Следователно е по-правилно да се напише: DirtyDecrypt вероятно е съвместим с или тясно свързан с CVE-2026-31635., вместо да твърди, че това е официалното име на CVE.

За работа е необходимо ядро ​​с активирана тази опция. CONFIG_RXGK, която включва RxGK поддръжка за AFS клиента и мрежовия транспорт. Това значително стеснява обхвата на засегнатите системи: на първо място, това се отнася до дистрибуции, които бързо следват ядрото нагоре по веригата, включително Fedora, Арка Linux и openSUSE TumbleweedBleepingComputer подчертава, че публикуваният V12 PoC е тестван само на Fedora и основното ядро.

DirtyDecrypt се появи на фона на цяла поредица от подобни продукти Linux Уязвимости на LPE. Разкрити преди това. Копирането е неуспешно в algif_aead, Мръсен фрагмент в мрежовите компоненти и след това Франнезия в XFRM ESP-in-TCP Microsoft описан Dirty Frag като локална ескалация на привилегиите чрез компонентите esp4, esp6 и rxrpc, позволявайки на атакуващия да получи локален достъп и да се закрепи в системата.

Практическата опасност от подобни грешки е, че те често се експлоатират след първоначалното нарушение: например, след компрометиране на SSH акаунт, уеб обвивка, уязвим контейнер или потребител на услуга с ниски привилегии. След като получи root достъп, атакуващият може да деактивира контролите за сигурност, да чете секрети, да променя лог файлове, да внедри persistence и да се придвижи по-нататък през инфраструктурата.

На потребителите на потенциално засегнати дистрибуции с последващо издаване се препоръчва да инсталират най-новите актуализации на ядрото. За системи, където незабавните актуализации не са възможни, публикациите споменават временни решения, като например деактивиране на неизползвани rxrpc модули и свързани компоненти. Такива заобиколни решения обаче могат да нарушат работата на AFS и някои IPsec/VPN сценарии, така че те трябва да се прилагат само след потвърждаване на въздействието върху конкретна система.

За повечето настолни и сървърни инсталации рискът вероятно е по-нисък от този при неуспешно копиране: DirtyDecrypt изисква специфична конфигурация на ядрото и локално изпълнение на код. За Fedora, Arch обаче... Linux, openSUSE Tumbleweed и други системи с бързи актуализации на ядрото, проблемът заслужава внимание: това вече не е теоретичен доклад, а уязвимост с публикувано доказателство за концепцията и ясен път към ескалация на привилегиите.

Източник: linux.org.ru