Proof-of-Concept für die Sicherheitsanfälligkeit veröffentlicht DirtyDecrypt, auch bekannt als DirtyCBC, die es einem lokalen, nicht privilegierten Benutzer ermöglicht, root-Rechte auf bestimmten Linux-Systemen zu erlangen. Das Problem liegt im Code rxgk Subsystem RxRPC und hängt mit dem Schreiben in den Page-Cache aufgrund fehlender copy-on-write-Prüfung in der Funktion rxgk_decrypt_skb() zusammen. Über die Veröffentlichung des PoC berichtete am 18. Mai 2026 die BleepingComputer; das PoC selbst ist im Repository des V12-Teams.
RxRPC ist ein Netzwerkprotokoll des Linux-Kernels über UDP, das zuverlässigen Transport für Remote-Operationen bietet. In der Kernel-Dokumentation wird explizit darauf hingewiesen, dass AFS – Andrew File System – ein Beispiel für eine Anwendung ist, die RxRPC nutzt, und dass das Protokoll die Aushandlung von Verbindungs-Sicherheitsprotokollen unterstützt. Dieser Bereich gehört zu RxGK, das für den geschützten Modus von RxRPC/AFS verwendet wird.
Laut V12 ist DirtyDecrypt eine weitere Variante von Sicherheitsanfälligkeiten der Klasse CopyFail / Dirty Frag / Fragnesia. Alle drehen sich um eine ähnliche Idee: Eine fehlerhafte Handhabung des Kernel-Speichers, des Page-Caches und der Puffer kann es einem nicht privilegierten lokalen Prozess ermöglichen, Daten zu beeinflussen, die nicht beschreibbar sein sollten. Im Fall von DirtyDecrypt handelt es sich um "rxgk pagecache write" aufgrund des fehlenden COW-Schutzes in rxgk_decrypt_skb().
Das Team V12 behauptet, das Problem entdeckt und gemeldet zu haben. 9. Mai 2026, aber die begleitenden Kernel-Entwickler antworteten, dass dies ein Duplikat eines bereits behobenen Fehlers sei. Daraufhin veröffentlichten die Forscher einen PoC und begründeten dies damit, dass die Korrektur bereits im Mainline-Kernel vorhanden sei.
Die Situation mit CVE erscheint nicht ganz klar. BleepingComputer berichtet, dass es zum Zeitpunkt der Veröffentlichung keinen offiziellen CVE nur für den Namen DirtyDecrypt gibt, jedoch verknüpft der Analyst Will Dormann die veröffentlichten Details von V12 mit CVE-2026-31635, das Ende April behoben wurde. In der NVD-Datenbank wird CVE-2026-31635 als Fehler in rxrpc beschrieben: Die Funktion rxgk_verify_response() prüfte die Länge des RESPONSE-Authentifikators fehlerhaft, sodass ein zu großer Authentifikator in rxgk_decrypt_skb() gelangen und den Code zu BUG_ON(len) führen konnte.
Das heißt, öffentliche Veröffentlichungen verknüpfen DirtyDecrypt mit CVE-2026-31635, aber die formelle Beschreibung von CVE im NVD wirkt bislang enger und spricht vor allem über einen Fehler bei der Längenprüfung in rxrpc, anstatt DirtyDecrypt/DirtyCBC als eigenständigen Eintrag direkt zu benennen. Daher ist es korrekter zu schreiben: DirtyDecrypt entspricht wahrscheinlich oder steht in engem Zusammenhang mit CVE-2026-31635, und nicht zu behaupten, dass dies der offizielle Name von CVE ist.
Zur Ausnutzung wird ein Kernel mit aktivierter Option CONFIG_RXGK, die RxGK-Unterstützung für den AFS-Client und den Netzwerktransport aktiviert. Dies reduziert den Kreis der betroffenen Systeme erheblich: Es handelt sich in erster Linie um Distributionen, die schnell dem Upstream-Kernel folgen, einschließlich , aber bisher ist er noch nicht in, Arch Linux und openSUSE Tumbleweed. Gleichzeitig betont BleepingComputer, dass der veröffentlichte V12 PoC nur auf Fedora und dem Mainline-Kernel getestet wurde.
DirtyDecrypt ist im Kontext einer ganzen Reihe von ähnlichen Linux LPE-Sicherheitsanfälligkeiten aufgetreten. Zuvor wurden Copy Fail in algif_aead, Dirty Frag in Netzwerkkomponenten, und dann Fragnesia in XFRM ESP-in-TCP. Microsoft beschrieb Dirty Frag als lokale Privilegienausweitung über die Komponenten esp4, esp6 und rxrpc, die es einem Angreifer ermöglicht, nach dem Erhalt von lokalem Zugriff auf root zu gelangen und sich im System festzusetzen.
Die praktische Gefahr solcher Fehler liegt darin, dass sie häufig erst nach einem initialen Angriff genutzt werden: zum Beispiel nach der Kompromittierung eines SSH-Kontos, eines Webshells, eines verletzlichen Containers oder eines niedrigprivilegierten Dienstbenutzers. Hat der Angreifer Root-Rechte erlangt, kann er Sicherheitsmaßnahmen ausschalten, Geheimnisse einsehen, Protokolle ändern, Persistence einrichten und weiter in die Infrastruktur vordringen.
Benutzern potenziell betroffener Rolling-Release-Distributionen wird empfohlen, die neuesten Kernel-Updates zu installieren. Für Systeme, bei denen ein sofortiges Update nicht möglich ist, werden in den Veröffentlichungen vorübergehende Maßnahmen wie das Deaktivieren nicht verwendeter rxrpc-Module und damit verbundener Komponenten erwähnt. Solche Workarounds können jedoch AFS und Teile von IPsec/VPN-Szenarien beeinträchtigen, weshalb sie nur nach Prüfung der Auswirkungen auf das jeweilige System angewendet werden sollten.
Für die meisten Desktop- und Serverinstallationen ist das Risiko wahrscheinlich geringer als bei Copy Fail: DirtyDecrypt erfordert eine spezifische Kernel-Konfiguration und lokale Codeausführung. Dennoch verdient das Problem für Fedora, Arch Linux, openSUSE Tumbleweed und andere Systeme mit schnellen Kernel-Updates Beachtung: es handelt sich nicht mehr um einen theoretischen Bericht, sondern um eine Schwachstelle mit veröffentlichtem PoC und einem klaren Weg zur Erhöhung der Privilegien.
Quelle: linux.org.ru
