Proof of Concept für eine Schwachstelle veröffentlicht DirtyDecrypt"The Rock" DirtyCBC, die es einem lokalen, nicht privilegierten Benutzer ermöglicht, Root-Rechte in bestimmten Linux-Systemen zu erlangen. Das Problem liegt im Code rxgk der Subsysteme RxRPC und hängt mit dem Schreiben in den Page Cache aufgrund fehlender Copy-on-Write-Prüfung in der Funktion rxgk_decrypt_skb() zusammen. Über die Veröffentlichung des PoC berichtete die Zeitung BleepingComputer am 18. Mai 2026; das PoC selbst wurde im Repository des V12-Teams.
RxRPC ist ein Netzwerkprotokoll des Linux-Kernels über UDP, das einen zuverlässigen Transport für Remote-Operationen bereitstellt. In der Kernel-Dokumentation wird ausdrücklich darauf hingewiesen, dass AFS — Andrew File System — ein Beispiel für eine Anwendung ist, die RxRPC verwendet, und dass das Protokoll Sicherheitsverhandlungen für die Verbindung unterstützt. In diesem Zusammenhang steht RxGK, das für den sicheren Modus von RxRPC/AFS verwendet wird.
Laut V12 ist DirtyDecrypt eine weitere Variante von Schwachstellen der Klasse CopyFail / Dirty Frag / Fragnesia. Alle drehen sich um eine ähnliche Idee: Fehlerhafte Handhabung des Speichers des Kernels, Page Cache und Puffer kann es einem nicht privilegierten lokalen Prozess ermöglichen, auf Daten zuzugreifen, die für Schreibvorgänge unzugänglich sein sollten. Bei DirtyDecrypt handelt es sich um ein «rxgk pagecache write» aufgrund fehlender COW-Schutzmaßnahmen in rxgk_decrypt_skb().
Das V12-Team behauptet, das Problem entdeckt und gemeldet zu haben 9. Mai 2026, aber die Kernel-Pflegekräfte antworteten, dass dies ein Duplikat eines bereits behobenen Fehlers sei. Nachdem die Forscher das PoC veröffentlichten, begründeten sie dies mit der Aussage, dass der Fix schon im Mainline-Kernel sei.
Die Situation bezüglich CVE ist nicht ganz klar. BleepingComputer berichtet, dass es zum Zeitpunkt der Veröffentlichung keine separate offizielle CVE speziell für den Namen DirtyDecrypt gibt, jedoch verbindet Analyst Will Dormann die veröffentlichten Details von V12 mit CVE-2026-31635, die Ende April behoben wurde. In der NVD-Datenbank wird CVE-2026-31635 als Fehler in rxrpc beschrieben: Die Funktion rxgk_verify_response() überprüfte nicht korrekt die Länge des RESPONSE-Authentifikators, weshalb ein zu großer Authentifikator in rxgk_decrypt_skb() gelangen konnte und den Code zu BUG_ON(len) führte.
Das heißt, öffentliche Veröffentlichungen verbinden DirtyDecrypt mit CVE-2026-31635, aber die formale Beschreibung der CVE in der NVD sieht zunächst eher eng aus und spricht hauptsächlich von einem Fehler in der Längenprüfung in rxrpc, nicht direkt von alias DirtyDecrypt/DirtyCBC als separatem Eintrag. Daher wäre es korrekter zu sagen: DirtyDecrypt steht wahrscheinlich im Einklang mit oder ist eng verbunden mit CVE-2026-31635, anstatt zu behaupten, dass dies der offizielle Name der CVE ist.
Für den Betrieb wird ein Kernel mit aktivierter Option benötigt CONFIG_RXGK, der die Unterstützung von RxGK für den AFS-Client und den Netzwerktransport aktiviert. Dies schränkt den betroffenen Systemkreis erheblich ein: Zunächst handelt es sich um Distributionen, die schnell auf den Upstream-Kernel folgen, einschließlich Fedora, Arch Linux und openSUSE Tumbleweed. Dabei betont BleepingComputer, dass der veröffentlichte V12 PoC nur auf Fedora und dem Mainline-Kernel getestet wurde.
DirtyDecrypt ist im Kontext einer ganzen Reihe ähnlicher Linux LPE-Schwachstellen aufgetaucht. Zuvor wurden Kopierfehler in algif_aead, Dirty Frag in den Netzwerkkomponenten, und anschließend Fragnesia in XFRM ESP-in-TCP. Microsoft beschrieb Dirty Frag als lokale Privilegienerhöhung über die esp4-, esp6- und rxrpc-Komponenten, die es einem Angreifer ermöglicht, nach dem Erhalt lokalem Zugang zu root-Rechten zu gelangen und sich im System zu verankern.
Die praktische Gefahr solcher Fehler liegt darin, dass sie häufig nach dem primären Zugriff ausgenutzt werden: zum Beispiel nach der Kompromittierung eines SSH-Accounts, einer Web-Shell, eines verwundbaren Containers oder eines wenig privilegierten Dienstbenutzers. Hat der Angreifer root-Rechte, kann er Schutzmaßnahmen deaktivieren, Geheimnisse lesen, Protokolle ändern, Persistenz einrichten und weiter durch die Infrastruktur vordringen.
Benutzern potenziell betroffener Rolling-Release-Distributionen wird empfohlen, die neuesten Kernel-Updates zu installieren. Für Systeme, bei denen ein sofortiges Update nicht möglich ist, werden in den Veröffentlichungen vorübergehende Maßnahmen wie das Deaktivieren nicht verwendeter rxrpc-Module und verwandter Komponenten erwähnt, jedoch könnten solche Umgehungslösungen AFS und Teile von IPsec/VPN-Szenarien beeinträchtigen, weshalb sie nur nach Überprüfung der Auswirkungen auf das spezielle System angewendet werden sollten.
Für die meisten Desktop- und Serverinstallationen ist das Risiko wahrscheinlich geringer als bei Copy Fail: DirtyDecrypt erfordert eine spezifische Kernel-Konfiguration und die lokale Ausführung von Code. Dennoch verdient das Problem für Fedora, Arch Linux, openSUSE Tumbleweed und andere Systeme mit schnellem Kernel-Update Aufmerksamkeit: Dies ist kein theoretischer Bericht mehr, sondern eine Schwachstelle mit einem veröffentlichten PoC und einem klaren Weg zur Privilegienerhöhung.
Quelle: linux.org.ru
