{"id":181690,"date":"2026-05-23T18:24:43","date_gmt":"2026-05-23T16:24:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux"},"modified":"2026-05-23T18:24:43","modified_gmt":"2026-05-23T16:24:43","slug":"opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux","title":{"rendered":"PoC f\u00fcr DirtyDecrypt ver\u00f6ffentlicht \u2013 eine neue LPE-Sicherheitsanf\u00e4lligkeit im Linux-Kernel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

<\/p>\n

Proof-of-Concept f\u00fcr die Sicherheitsanf\u00e4lligkeit ver\u00f6ffentlicht DirtyDecrypt<\/strong>, auch bekannt als DirtyCBC<\/strong>, die es einem lokalen, nicht privilegierten Benutzer erm\u00f6glicht, root-Rechte auf bestimmten Linux-Systemen zu erlangen. Das Problem liegt im Code rxgk<\/strong> Subsystem RxRPC<\/strong> und h\u00e4ngt mit dem Schreiben in den Page-Cache aufgrund fehlender copy-on-write-Pr\u00fcfung in der Funktion rxgk_decrypt_skb() zusammen. \u00dcber die Ver\u00f6ffentlichung des PoC berichtete am 18. Mai 2026 die BleepingComputer; das PoC selbst ist im Repository des V12-Teams<\/a>.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

RxRPC ist ein Netzwerkprotokoll des Linux-Kernels<\/a> \u00fcber UDP, das zuverl\u00e4ssigen Transport f\u00fcr Remote-Operationen bietet. In der Kernel-Dokumentation wird explizit darauf hingewiesen, dass AFS<\/strong> \u2013 Andrew File System \u2013 ein Beispiel f\u00fcr eine Anwendung ist, die RxRPC nutzt, und dass das Protokoll die Aushandlung von Verbindungs-Sicherheitsprotokollen unterst\u00fctzt. Dieser Bereich geh\u00f6rt zu RxGK, das f\u00fcr den gesch\u00fctzten Modus von RxRPC\/AFS verwendet wird.<\/p>\n

<\/noindex><\/p>\n

Laut V12 ist DirtyDecrypt eine weitere Variante von Sicherheitsanf\u00e4lligkeiten der Klasse CopyFail \/ Dirty Frag \/ Fragnesia<\/strong>. Alle drehen sich um eine \u00e4hnliche Idee: Eine fehlerhafte Handhabung des Kernel-Speichers, des Page-Caches und der Puffer kann es einem nicht privilegierten lokalen Prozess erm\u00f6glichen, Daten zu beeinflussen, die nicht beschreibbar sein sollten. Im Fall von DirtyDecrypt handelt es sich um \"rxgk pagecache write\" aufgrund des fehlenden COW-Schutzes in rxgk_decrypt_skb().<\/p>\n

Das Team V12 behauptet, das Problem entdeckt und gemeldet zu haben. 9. Mai 2026<\/strong>, aber die begleitenden Kernel-Entwickler antworteten, dass dies ein Duplikat eines bereits behobenen Fehlers sei. Daraufhin ver\u00f6ffentlichten die Forscher einen PoC und begr\u00fcndeten dies damit, dass die Korrektur bereits im Mainline-Kernel vorhanden sei.<\/p>\n

Die Situation mit CVE erscheint nicht ganz klar. BleepingComputer berichtet, dass es zum Zeitpunkt der Ver\u00f6ffentlichung keinen offiziellen CVE nur f\u00fcr den Namen DirtyDecrypt gibt, jedoch verkn\u00fcpft der Analyst Will Dormann die ver\u00f6ffentlichten Details von V12 mit CVE-2026-31635<\/strong>, das Ende April behoben wurde. In der NVD-Datenbank wird CVE-2026-31635 als Fehler in rxrpc beschrieben: Die Funktion rxgk_verify_response() pr\u00fcfte die L\u00e4nge des RESPONSE-Authentifikators fehlerhaft, sodass ein zu gro\u00dfer Authentifikator in rxgk_decrypt_skb() gelangen und den Code zu BUG_ON(len) f\u00fchren konnte.<\/p>\n

<\/p>\n

Das hei\u00dft, \u00f6ffentliche Ver\u00f6ffentlichungen verkn\u00fcpfen DirtyDecrypt mit CVE-2026-31635<\/a><\/strong>, aber die formelle Beschreibung von CVE im NVD wirkt bislang enger und spricht vor allem \u00fcber einen Fehler bei der L\u00e4ngenpr\u00fcfung in rxrpc, anstatt DirtyDecrypt\/DirtyCBC als eigenst\u00e4ndigen Eintrag direkt zu benennen. Daher ist es korrekter zu schreiben: DirtyDecrypt entspricht wahrscheinlich oder steht in engem Zusammenhang mit CVE-2026-31635<\/em>, und nicht zu behaupten, dass dies der offizielle Name von CVE ist.<\/p>\n

<\/noindex><\/p>\n

Zur Ausnutzung wird ein Kernel mit aktivierter Option CONFIG_RXGK<\/strong>, die RxGK-Unterst\u00fctzung f\u00fcr den AFS-Client und den Netzwerktransport aktiviert. Dies reduziert den Kreis der betroffenen Systeme erheblich: Es handelt sich in erster Linie um Distributionen, die schnell dem Upstream-Kernel folgen, einschlie\u00dflich , aber bisher ist er noch nicht in<\/strong>, Arch Linux<\/strong> und openSUSE Tumbleweed<\/strong>. Gleichzeitig betont BleepingComputer, dass der ver\u00f6ffentlichte V12 PoC nur auf Fedora und dem Mainline-Kernel getestet wurde.<\/p>\n

<\/p>\n

DirtyDecrypt ist im Kontext einer ganzen Reihe von \u00e4hnlichen Linux LPE-Sicherheitsanf\u00e4lligkeiten aufgetreten. Zuvor wurden Copy Fail<\/strong> in algif_aead, Dirty Frag<\/strong> in Netzwerkkomponenten, und dann Fragnesia<\/strong> in XFRM ESP-in-TCP. Microsoft beschrieb<\/a> Dirty Frag als lokale Privilegienausweitung \u00fcber die Komponenten esp4, esp6 und rxrpc, die es einem Angreifer erm\u00f6glicht, nach dem Erhalt von lokalem Zugriff auf root zu gelangen und sich im System festzusetzen.<\/p>\n

<\/noindex><\/p>\n

Die praktische Gefahr solcher Fehler liegt darin, dass sie h\u00e4ufig erst nach einem initialen Angriff genutzt werden: zum Beispiel nach der Kompromittierung eines SSH-Kontos, eines Webshells, eines verletzlichen Containers oder eines niedrigprivilegierten Dienstbenutzers. Hat der Angreifer Root-Rechte erlangt, kann er Sicherheitsma\u00dfnahmen ausschalten, Geheimnisse einsehen, Protokolle \u00e4ndern, Persistence einrichten und weiter in die Infrastruktur vordringen.<\/p>\n

Benutzern potenziell betroffener Rolling-Release-Distributionen wird empfohlen, die neuesten Kernel-Updates zu installieren. F\u00fcr Systeme, bei denen ein sofortiges Update nicht m\u00f6glich ist, werden in den Ver\u00f6ffentlichungen vor\u00fcbergehende Ma\u00dfnahmen wie das Deaktivieren nicht verwendeter rxrpc-Module und damit verbundener Komponenten erw\u00e4hnt. Solche Workarounds k\u00f6nnen jedoch AFS und Teile von IPsec\/VPN-Szenarien beeintr\u00e4chtigen, weshalb sie nur nach Pr\u00fcfung der Auswirkungen auf das jeweilige System angewendet werden sollten.<\/p>\n

F\u00fcr die meisten Desktop- und Serverinstallationen ist das Risiko wahrscheinlich geringer als bei Copy Fail: DirtyDecrypt erfordert eine spezifische Kernel-Konfiguration und lokale Codeausf\u00fchrung. Dennoch verdient das Problem f\u00fcr Fedora, Arch Linux, openSUSE Tumbleweed und andere Systeme mit schnellen Kernel-Updates Beachtung: es handelt sich nicht mehr um einen theoretischen Bericht, sondern um eine Schwachstelle mit ver\u00f6ffentlichtem PoC und einem klaren Weg zur Erh\u00f6hung der Privilegien.<\/p>\n

Quelle: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d proof-of-concept \u0434\u043b\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 DirtyDecrypt, \u0442\u0430\u043a\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043a\u0430\u043a DirtyCBC, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 root \u043d\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 Linux. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043a\u043e\u0434\u0435 rxgk \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u044b RxRPC \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u0432 page cache \u0438\u0437-\u0437\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 copy-on-write \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 rxgk_decrypt_skb(). \u041e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 PoC 18 \u043c\u0430\u044f 2026 \u0433\u043e\u0434\u0430 \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u043e \u0438\u0437\u0434\u0430\u043d\u0438\u0435 BleepingComputer; \u0441\u0430\u043c PoC \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181690","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 PoC f\u00fcr DirtyDecrypt ver\u00f6ffentlicht \u2013 neue LPE-Schwachstelle im Linux-Kernel | ProHoster","description":"Ein Proof-of-Concept f\u00fcr die DirtyDecrypt-Schwachstelle, die auch als DirtyCBC bekannt ist, wurde ver\u00f6ffentlicht. Diese erm\u00f6glicht es einem lokalen nicht privilegierten Benutzer, root-Rechte auf bestimmten Linux-Systemen zu erlangen. Das Problem liegt im rxgk-Code der RxRPC-Subsystem und h\u00e4ngt mit dem Schreiben in den Page Cache aufgrund fehlender Copy-on-Write-Pr\u00fcfung in der Funktion rxgk_decrypt_skb() zusammen. \u00dcber die Ver\u00f6ffentlichung des PoC am 18. Mai 2026 berichtete das Magazin BleepingComputer; der PoC selbst ist verf\u00fcgbar unter","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d PoC \u0434\u043b\u044f DirtyDecrypt \u2014 \u043d\u043e\u0432\u043e\u0439 LPE-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u044f\u0434\u0440\u0435 Linux | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d proof-of-concept \u0434\u043b\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 DirtyDecrypt, \u0442\u0430\u043a\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043a\u0430\u043a DirtyCBC, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 root \u043d\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 Linux. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043a\u043e\u0434\u0435 rxgk \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u044b RxRPC \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u0432 page cache \u0438\u0437-\u0437\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 copy-on-write \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 rxgk_decrypt_skb(). \u041e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 PoC 18 \u043c\u0430\u044f 2026 \u0433\u043e\u0434\u0430 \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u043e \u0438\u0437\u0434\u0430\u043d\u0438\u0435 BleepingComputer; \u0441\u0430\u043c PoC \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d \u0432","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-23T16:24:43+00:00","article:modified_time":"2026-05-23T16:24:43+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/181690","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=181690"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/181690\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=181690"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=181690"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=181690"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}