Byl zveřejněn proof-of-concept pro zranitelnost DirtyDecrypt, také známou jako DirtyCBC, umožňující místnímu nepřidělenému uživateli získat práva root na některých systémech Linux. Problém je v kódu rxgk podsubsystemu RxRPC a souvisí s zápisem do page cache kvůli chybějící kontrole copy-on-write ve funkci rxgk_decrypt_skb(). O zveřejnění PoC 18. května 2026 informovalo vydání BleepingComputer; samotný PoC je umístěn v repozitáři týmu V12.
RxRPC — to je síťový protokol jádra Linuxu na vrchu UDP, poskytující spolehlivou dopravu pro vzdálené operace. V dokumentaci jádra je výslovně uvedeno, že AFS — Andrew File System — je příkladem aplikace, která používá RxRPC, a samotný protokol podporuje vyjednávání o zabezpečení spojení. To se týká oblasti RxGK, použité pro zabezpečený režim RxRPC/AFS.
Podle popisu V12 je DirtyDecrypt dalším variantou zranitelností třídy CopyFail / Dirty Frag / Fragnesia. Všechny se točí kolem podobné myšlenky: nesprávné zacházení s pamětí jádra, page cache a buffery může umožnit nepřidělenému místnímu procesu ovlivnit data, která by měla být pro zápis nedostupná. V případě DirtyDecrypt jde o „rxgk pagecache write“ kvůli chybějící COW ochraně v rxgk_decrypt_skb().
Tým V12 tvrdí, že problém objevil a nahlásil 9. května 2026, ale přidružené jádra odpověděla, že se jedná o duplikát již opravené chyby. Poté vědci zveřejnili PoC, motivováni tím, že oprava je již v mainline jádře.
Situace s CVE není zcela jasná. BleepingComputer uvádí, že mu neexistuje žádný samostatný oficiální CVE pro název DirtyDecrypt v době zveřejnění, ale analytik Will Dormann spojuje zveřejněné detaily V12 s CVE-2026-31635, opravenou koncem dubna. V databázi NVD je CVE-2026-31635 popsána jako chyba v rxrpc: funkce rxgk_verify_response() nesprávně kontrolovala délku RESPONSE autentizátoru, což mohlo vést k tomu, že příliš velký autentizátor mohl projít do rxgk_decrypt_skb() a vyvolat BUG_ON(len).
To znamená, že veřejné publikace spojují DirtyDecrypt s CVE-2026-31635, ale formální popis CVE v NVD zatím vypadá užší a hovoří především o chybě ověřování délky v rxrpc, a ne přímo o aliasu DirtyDecrypt/DirtyCBC jako o samostatném záznamu. Proto je přesnější říci: DirtyDecrypt pravděpodobně odpovídá nebo je úzce spojen s CVE-2026-31635, a ne tvrdit, že je to oficiální název CVE.
Pro provozování je vyžadováno jádro s aktivovanou volbou CONFIG_RXGK, která zahrnuje podporu RxGK pro AFS klienta a síťový transport. To výrazně zúžuje okruh zasažených systémů: především se jedná o distribuce, které rychle následují upstream jádro, včetně Fedora, Arch Linux a openSUSE Tumbleweed. Přitom BleepingComputer zdůrazňuje, že publikovaný V12 PoC byl testován pouze na Fedoře a mainline jádře.
DirtyDecrypt se objevila na pozadí celé série podobných Linux LPE zranitelností. Dříve byly odhaleny Chyba kopírování v algif_aead, Dirty Frag v síťových komponentech, a poté Fragnesia v XFRM ESP-in-TCP. Microsoft popisovala Dirty Frag jako lokální zvýšení oprávnění prostřednictvím komponent esp4, esp6 a rxrpc, která útočníkovi umožňují po získání lokálního přístupu povýšit se na root a upevnit se v systému.
Praktické nebezpečí těchto chyb spočívá v tom, že jsou často zneužívány již po prvotním hackerském útoku: například po kompromitaci SSH účtu, web shellu, zranitelného kontejneru nebo málo privilegovaného servisního uživatele. Získáním rootu může útočník vypínat ochranné prostředky, číst tajemství, měnit logy, rozvíjet ochranu setrvání a posouvat se dále v infrastruktuře.
Uživatelům potenciálně zasažených rolling-release distribucí se doporučuje nainstalovat poslední aktualizace jádra. Pro systémy, kde není možné okamžité aktualizování, se v publikacích zmiňují dočasná opatření, jako je deaktivace nepoužívaných rxrpc modulů a souvisejících komponent, avšak taková obcházející řešení mohou narušit AFS a část IPsec/VPN scénářů, a proto je nutné je aplikovat pouze po ověření dopadu na konkrétní systém.
Pro většinu desktopových a serverových instalací je riziko pravděpodobně nižší než u Copy Fail: DirtyDecrypt vyžaduje specifickou konfiguraci jádra a místní vykonávání kódu. Nicméně pro Fedoru, Arch Linux, openSUSE Tumbleweed a další systémy s rychlým aktualizováním jádra si problém zaslouží pozornost: to už není teoretická zpráva, ale zranitelnost s publikovaným PoC a jasnou cestou k získání vyšších oprávnění.
Zdroj: linux.org.ru
