Avaldatud PoC DirtyDecrypti — uue LPE-haavatavuse kohta Linuxi tuumas

Avaldatud tõestuskontseptsioon haavatavuse kohta DirtyDecrypt„The Rock“ DirtyCBC, mis võimaldab kohalikul privileegita kasutajal saada root õigused mõnedes Linuxi süsteemides. Probleem on koodis rxgk alamsüsteemi RxRPC ja see on seotud kirjutamisega page cache'i, kuna puudu on copy-on-write kontroll funktsioonis rxgk_decrypt_skb(). PoC avaldamisest teatas 18. mai 2026 väljaanne BleepingComputer; ise PoC on paigutatud V12 meeskonna hoidlas.

RxRPC on Linuxi tuuma võrguprotokoll UDP peal, mis pakub usaldusväärset transporti kaugtegevuste jaoks. Tuuma dokumentatsioonis on eraldi mainitud, et AFS — Andrew File System — on näide rakendusest, mis kasutab RxRPC-d, ning protokoll toetab ühenduse turvalisuse läbirääkimisi. Just selle ala juurde kuulub RxGK, mida kasutatakse RxRPC/AFS turvalise režiimi jaoks.

V12 kirjelduse kohaselt on DirtyDecrypt veel üks näide haavatavustest klassist CopyFail / Dirty Frag / Fragnesia. Kõik need pöörlevad sarnase idee ümber: tuuma mälu, page cache'i ja puhversüsteemide vale käsitlemine võib võimaldada privileegita kohalikul protsessil mõjutada andmeid, mis peaksid olema kirjutamiseks kättesaamatud. DirtyDecrypt'i puhul on tegu "rxgk pagecache write" probleemiga, kuna rxgk_decrypt_skb() funktsioonis puudub COW kaitse.

V12 meeskond väidab, et avastas ja teatas probleemist 9. mai 2026, kuid tuuma hooldajad vastasid, et see on duplikaat juba parandatud veast. Pärast seda avaldasid teadlased PoC, väites, et parandamine on juba mainline- tuumas.

CVE olukord ei tundu kuigi selge. BleepingComputer kirjutab, et eraldi ametlikku CVE-d nimega DirtyDecrypt hetkel ei ole, kuid analüütik Will Dormann seob avaldatud V12 üksikasjad CVE-2026-31635, mis parandati aprilli lõpus. NVD andmebaasis on CVE-2026-31635 kirjeldatud kui viga rxrpc: funktsioon rxgk_verify_response() ei kontrollinud korrektselt RESPONSE autentifikaatori pikkust, mis võimaldas liiga suure autentifikaatori jõuda rxgk_decrypt_skb() ja põhjustada koodi BUG_ON(len).

Seega seovad avalikud publikatsioonid DirtyDecrypt'i CVE-2026-31635, kuid CVE ametlik kirjeldus NVD-s tundub hetkel kitsam ja räägib peamiselt rxrpc pikkuse kontrollimise veast, mitte otse aliasist DirtyDecrypt/DirtyCBC kui eraldi kirjest. Seetõttu on korrektsem kirjutada: DirtyDecrypt on tõenäoliselt seotud või tihedalt seotud CVE-2026-31635, mitte väita, et see on ametlik nimi CVE.

Eksploiteerimiseks on vajalik süda, kus on aktiveeritud valik CONFIG_RXGK, mis võimaldab RxGK toetust AFS-kliendile ja võrgu transpordile. See kitsendab oluliselt mõjutatud süsteemide hulka: eelkõige räägime jaotustest, mis järgnevate upstream-kerede kiirelt järgivad, sealhulgas Fedora, Arch Linux ja openSUSE Tumbleweed. Samas rõhutab BleepingComputer, et avaldatud V12 PoC oli testitud ainult Fedora ja mainline-kernelil.

DirtyDecrypt ilmnes seoses terve seeria sarnaste Linux LPE-haavatavustega. Varasemaid on avalikustatud Kopeeri nurjumine algif_aeadis, Dirty Frag võrgu komponentides ja seejärel Fragnesia XFRM ESP-in-TCP-s. Microsoft kirjeldas Dirty Fragi kui kohaliku privileegide tõusu esp4, esp6 ja rxrpc komponentide kaudu, mis võimaldab ründajal, kes on saanud kohaliku ligipääsu, tõusta root-taseme ja kinnituda süsteemi.

Sarnaste vigade praktiline oht on see, et neid kasutatakse sageli pärast esialgset rünnet: näiteks pärast SSH-konto, web shelli, haavatava konteineri või madala privileegiga teenusekasutaja kompromiteerimist. Saades root'i juurdepääsu, saab ründaja kaitsemehhanisme keelata, saladusi lugeda, logisid muuta, püsivust luua ning edasi liikuda infrastruktuuris.

Potentsiaalselt mõjutatud rolling-release jaotuste kasutajatele soovitatakse installida viimased tuumauuendused. Süsteemide jaoks, kus kohene uuendamine ei ole võimalik, mainitakse avaldustes ajutisi meetmeid, nagu mitteaktiivsete rxrpc-modulite ja seotud komponentide keeldumine, kuid sellised lahendused võivad rikkuda AFS-i ja osa IPsec/VPN stsenaariume, seetõttu tuleks neid rakendada ainult pärast konkreetse süsteemi mõju kontrollimist.

Enamikul lauaarvuti ja serveri installatsioonidest on risk tõenäoliselt madalam kui Kopeeri nurjumine: DirtyDecrypt nõuab konkreetse kernelikonfiguratsiooni ja kohalike koodide täitmist. Küll aga on Fedora, Arch Linux, openSUSE Tumbleweed ja teiste kiire tuumauuendusega süsteemide puhul probleem tähelepanu väärt: see ei ole enam teoreetiline raport, vaid haavatavus koos avaldatud PoC-ga ja arusaadava teega privileegide tõstmiseks.

Allikas: linux.org.ru