Haavatavuse kohta on avaldatud kontseptsiooni tõestus. DirtyDecrypt, tuntud ka kui RäpaneCBC, mis võimaldab kohalikul privilegeerimata kasutajal saada mõnes süsteemis root-õigused LinuxProbleem peitub koodis. rxgk alamsüsteemid RxRPC ja on seotud lehe vahemälu kirjutamisega, mis on tingitud rxgk_decrypt_skb() funktsiooni puuduvast kopeerimise-kirjutamise kontrollist. PoC avaldati 18. mail 2026 BleepingComputeri poolt; PoC ise on postitatud aadressile V12 meeskonna repositooriumid.
RxRPC on kerneli võrguprotokoll. Linux UDP kaudu, pakkudes usaldusväärset transporti kaugtoimingute jaoks. Kerneli dokumentatsioon väidab konkreetselt, et AFS — Andrew File System on näide rakendusest, mis kasutab RxRPC-d ja protokoll ise toetab ühenduse turvalisuse läbirääkimisi. Siin tuleb mängu RxGK, mida kasutatakse RxRPC/AFS-i turvalise režiimi jaoks.
V12 kirjelduse kohaselt on DirtyDecrypt haavatavuste klassi teine variant. CopyFail / Räpane Frag / FragnesiaNeed kõik keerlevad sarnase idee ümber: kerneli mälu, lehe vahemälu ja puhvrite vale manipuleerimine võib lubada privileegideta kohalikul protsessil mõjutada andmeid, mis peaksid olema kirjutamiskõlbmatud. DirtyDecrypti puhul on tegemist "rxgk lehe vahemälu kirjutamisega", mis on tingitud rxgk_decrypt_skb() funktsioonis puuduvast COW-kaitsest.
V12 meeskond väidab, et avastas probleemi ja teatas sellest. 9 mai 2026 aasta, kuid kerneli hooldajad vastasid, et see on juba parandatud vea koopia. Seejärel avaldasid teadlased kontseptsiooni tõestuse, väites, et parandus oli juba põhikernelis olemas.
CVE-dega seotud olukord ei tundu olevat täiesti lihtne. BleepingComputer teatab, et avaldamise ajal pole DirtyDecrypt nime jaoks eraldi ametlikku CVE-d, kuid analüütik Will Dormann seob V12 avaldatud üksikasjad CVE-2026-31635, parandatud aprilli lõpus. NVD kirjeldab CVE-2026-31635 veana rxrpc-s: funktsioon rxgk_verify_response() kontrollis valesti autentimisfunktsiooni RESPONSE pikkust, mille tulemusel võidi rxgk_decrypt_skb() funktsioonile edastada liiga pikk autentimisfunktsioon ja see võis põhjustada koodi BUG_ON(len) tõrke.
See tähendab, et avalikult kättesaadavad väljaanded seovad DirtyDecrypti CVE-2026-31635, aga ametlik CVE kirjeldus NVD-s tundub praegu kitsam ja viitab peamiselt pikkuse kontrolli veale rxrpc-s, mitte otse DirtyDecrypt/DirtyCBC aliasele eraldi kirjena. Seetõttu on õigem kirjutada: DirtyDecrypt on tõenäoliselt kooskõlas CVE-2026-31635-ga või sellega tihedalt seotud, selle asemel, et väita, et see on ametlik CVE nimi.
Tööks on vaja kerneli, millel see valik on lubatud. CONFIG_RXGK, mis hõlmab RxGK tuge AFS-kliendile ja võrgutranspordile. See kitsendab oluliselt mõjutatud süsteemide ringi: peamiselt puudutab see distributsioone, mis järgnevad kiiresti ülesvoolu kernelile, sealhulgas Fedora, Kaar Linux и openSUSE TumbleweedBleepingComputer rõhutab, et avaldatud V12 PoC-d testiti ainult Fedora ja põhikerneli peal.
DirtyDecrypt ilmus terve rea sarnaste toodete taustal Linux LPE haavatavused. Varem avalikustatud Kopeerimine ebaõnnestus algif_aead'is Räpane Frag võrgukomponentides ja seejärel Fragnesia XFRM ESP-TCP-s Microsoft kirjeldatud Dirty Frag ehk räpane fragment kohalike õiguste eskaleerumisena komponentide eskalatsiooni kaudu esp4, esp6 ja rxrpc kaudu, mis võimaldab ründajal saada kohaliku juurdepääsu ja süsteemis kanda kinnitada.
Selliste vigade praktiline oht seisneb selles, et neid kasutatakse sageli ära pärast esialgset rikkumist: näiteks pärast SSH-konto, veebikesta, haavatava konteineri või madala privileegiga teenusekasutaja ohtu seadmist. Juurjuurdepääsu saamisel saab ründaja keelata turvakontrollid, lugeda saladusi, muuta logisid, juurutada püsivuskaitset ja liikuda infrastruktuuris edasi.
Potentsiaalselt mõjutatud jooksvalt välja antud distributsioonide kasutajatel soovitatakse installida uusimad kerneli värskendused. Süsteemide puhul, kus kohesed värskendused pole võimalikud, mainitakse väljaannetes ajutisi lahendusi, näiteks kasutamata rxrpc moodulite ja seotud komponentide keelamist. Sellised lahendused võivad aga AFS-i ja mõningaid IPsec/VPN-i stsenaariume rikkuda, seega tuleks neid rakendada alles pärast konkreetsele süsteemile avalduva mõju kinnitamist.
Enamiku laua- ja serveriinstallatsioonide puhul on risk tõenäoliselt väiksem kui kopeerimise ebaõnnestumine: DirtyDecrypt nõuab spetsiifilist kerneli konfiguratsiooni ja kohalikku koodi käivitamist. Fedora puhul on Arch aga... Linux, openSUSE Tumbleweedi ja teiste kiirete kerneli uuendustega süsteemide puhul väärib see probleem tähelepanu: see pole enam teoreetiline aruanne, vaid haavatavus, millel on avaldatud kontseptsiooni tõestus ja selge tee privileegide eskaleerimiseks.
Allikas: linux.org.ru
