Proof-of-concept for a vulnerability has been published DirtyDecrypt, also known as DirtyCBC, which allows a local unprivileged user to gain root rights on certain Linux systems. The problem lies in the code of rxgk subsystem RxRPC and is related to writing to the page cache due to the lack of a copy-on-write check in the function rxgk_decrypt_skb(). The publication of the PoC was reported by BleepingComputer on May 18, 2026; the PoC itself is hosted in the V12 team's repository.
RxRPC is a Linux kernel network protocol over UDP, providing reliable transport for remote operations. It is specifically mentioned in the kernel documentation that AFS — Andrew File System — is an example of an application using RxRPC, and the protocol supports negotiations for connection security. This area pertains to RxGK, used for secure RxRPC/AFS mode.
According to V12, DirtyDecrypt is yet another variant of vulnerabilities in the class of CopyFail / Dirty Frag / Fragnesia. They all revolve around a similar idea: incorrect handling of kernel memory, page cache, and buffers can allow an unprivileged local process to affect data that should be inaccessible for writing. In the case of DirtyDecrypt, it concerns "rxgk pagecache write" due to the lack of COW protection in rxgk_decrypt_skb().
The V12 team claims to have discovered and reported the problem on May 9, 2026, but the kernel maintainers responded that this is a duplicate of an already fixed bug. Following this, researchers published the PoC, arguing that the fix is already in the mainline kernel.
The situation with CVE does not appear straightforward. BleepingComputer reports that there is no separate official CVE specifically for the name DirtyDecrypt at the time of publication, but analyst Will Dormann links the published V12 details with CVE-2026-31635, fixed at the end of April. The NVD database describes CVE-2026-31635 as a bug in rxrpc: the function rxgk_verify_response() incorrectly checked the length of the RESPONSE authenticator, allowing an excessively large authenticator to pass into rxgk_decrypt_skb(), leading the code to BUG_ON(len).
Thus, public publications link DirtyDecrypt with CVE-2026-31635, but the formal description of CVE in NVD still appears narrower, stating primarily the length-checking error in rxrpc, rather than directly regarding the alias DirtyDecrypt/DirtyCBC as a separate entry. Therefore, it is more accurate to write: DirtyDecrypt likely corresponds to or is closely related to CVE-2026-31635, og ikke hævde, at det er det officielle navn CVE.
For at udnytte det kræves en kerne med den aktiverede indstilling CONFIG_RXGK, som aktiverer støtte til RxGK for AFS-klienten og netværkstransport. Dette indsnævrer markant omfanget af berørte systemer: der henvises først og fremmest til distributioner, der hurtigt følger efter upstream-kernen, herunder Fedora, Arch Linux og openSUSE Tumbleweed. Samtidig understreger BleepingComputer, at den offentliggjorte V12 PoC kun er blevet testet på Fedora og mainline-kernen.
DirtyDecrypt opstod i kølvandet på en række nært beslægtede Linux LPE-sårbarheder. Tidligere blev det afsløret Copy Fail i algif_aead, Dirty Frag i netværkskomponenter, og derefter Fragnesia i XFRM ESP-in-TCP. Microsoft beskrev Dirty Frag som lokal forhøjelse af privilegier gennem komponenter esp4, esp6 og rxrpc, hvilket tillader en angriber at opnå root-adgang og forblive i systemet efter at have fået lokal adgang.
Den praktiske fare ved sådanne fejl er, at de ofte bruges efter det primære brud: for eksempel efter kompromittering af en SSH-konto, web shell, en sårbar container eller en lavprivilegeret servicebruger. Når angriberen har opnået root-adgang, kan de deaktivere beskyttelsesforanstaltninger, læse hemmeligheder, ændre logfiler, implementere persistence og bevæge sig videre i infrastrukturen.
Brugere af potentielt berørte rolling-release distributioner anbefales at installere de nyeste kernelopdateringer. For systemer, hvor øjeblikkelig opdatering ikke er muligt, nævnes der midlertidige foranstaltninger i publikationer som at deaktivere ubrugte rxrpc-moduler og relaterede komponenter, dog kan sådanne omgåelsesløsninger bryde AFS og nogle IPsec/VPN-scenarier, så de bør kun anvendes efter at have vurderet indflydelsen på det specifikke system.
For de fleste desktop- og serverinstallationer er risikoen sandsynligvis lavere end for Copy Fail: DirtyDecrypt kræver en specifik kernelkonfiguration og lokal udførelse af kode. Ikke desto mindre, for Fedora, Arch Linux, openSUSE Tumbleweed og andre systemer med hurtige kernelopdateringer, fortjener problemet opmærksomhed: dette er ikke længere en teoretisk rapport, men en sårbarhed med offentliggjort PoC og en klar vej til forhøjelse af privilegier.
Kilde: linux.org.ru
