Avalikustatud PoC DirtyDecrypt jaoks — uus LPE-haavatavus Linuxi tuumas

Avaldatud proof-of-concept haavatavuse kohta DirtyDecrypt, tuntud ka kui DirtyCBC, mis võimaldab kohalikel privileege mittesaanud kasutajatel saada root-õigusi mõnedes Linuxi süsteemides. Probleem esineb koodis rxgk alamsüsteemis RxRPC ja on seotud page cache'i kirjutamisega, kuna funktsioonis rxgk_decrypt_skb() puudub copy-on-write kontroll. BleepingComputer teatas PoC avaldamisest 18. mail 2026; ise PoC on avaldatud meeskonna V12 hoidlas.

RxRPC on Linuxi tuuma võrguprotokoll UDP peal, mis pakub usaldusväärset transporti kaugtehingute jaoks. Tuuma dokumentatsioonis on eraldi mainitud, et AFS — Andrew File System — on näide rakendusest, mis kasutab RxRPC-t, ning protokoll toetab ühenduste turvapöörangute läbirääkimisi. Just sellele valdkonnale kuulub RxGK, mis on vajalik RxRPC/AFS turvaliseks režiimiks.

V12 kirjelduse kohaselt on DirtyDecrypt veel üks variant haavatavustest, mis kuuluvad klassi CopyFail / Dirty Frag / Fragnesia. Kõik need keskenduvad sarnasele ideele: tuumamälu, page cache ja puhverdatud andmete vale töötlemine võib lubada privileegideta kohalikul protsessil mõjutada andmeid, mida ei tohiks kirjutada. DirtyDecrypt'i puhul on tegemist 'rxgk pagecache write' probleemiga, kuna rxgk_decrypt_skb() ei oma COW-kaitset.

V12 meeskond väidab, et nad avastasid ja rääkisid probleemist 9. mai 2026, kuid kaasnevad tuumad vastasid, et see on juba parandatud vea duplikaat. Pärast seda avaldasid teadlased PoC, põhjendades, et parandus on juba mainline-keres.

CVE olukord ei tundu täiesti selge. BleepingComputer kirjutab, et eraldi ametlikku CVE-d DirtyDecrypt nime all pole avaldamise hetkel, kuid analüütik Will Dormann seondab avaldatud V12 üksikasjad CVE-2026-31635, mis parandati aprilli lõpus. NVD andmebaasis on CVE-2026-31635 kirjeldatud kui viga rxrpc-s: funktsioon rxgk_verify_response() kontrollis RESPONSE autendit vääralt, mille tõttu võis liiga suur autentija sattuda rxgk_decrypt_skb() sisse ja viia koodi BUG_ON(len)-ni.

See tähendab, et avalikud teated seovad DirtyDecrypt'i nimelt CVE-2026-31635, kuid CVE ametlikku kirjeldust NVD-s vaadates tundub, et see on kitsam ja räägib eelkõige rxrpc pikkuse kontrollimise veast, mitte otse alias DirtyDecrypt/DirtyCBC eraldi kirjana. Seega on õigustatud kirjutada: DirtyDecrypt vastab tõenäoliselt või on tihedalt seotud CVE-2026-31635, mitte väita, et see on CVE ametlik nimi.

Eksploitatsiooniks on vajalik kernel, millel on lubatud valik CONFIG_RXGK, mis lubab RxGK toetust AFS-kliendile ja võrgu transiidile. See kitsendab oluliselt mõjutatud süsteemide ringi: peamiselt räägime distributsioonidest, mis järgivad kiiresti upstream-kerneli, sealhulgas Fedora, Arch Linuxis ja openSUSE Tumbleweed. Samas rõhutab BleepingComputer, et avaldatud V12 PoC testiti ainult Fedora ja mainline-kernelil.

DirtyDecrypt ilmus mitme sarnase Linuxi LPE-haavatavuse seeria taustal. Varem avastati Copy Fail algif_aead-s, Dirty Frag võrgu komponentides, ja seejärel Fragnesia XFRM ESP-in-TCP-s. Microsoft kirjeldas Dirty Frag'i kui kohalikku privileegide tõstmist esp4, esp6 ja rxrpc komponentide kaudu, mis võimaldab ründajal pärast kohaliku ligipääsu saamist tõusta root'i tasemele ja süsteemis kindlaks jääda.

Selliste vigade praktiline oht seisneb selles, et neid kasutatakse sageli pärast esmast häkkimist: näiteks pärast SSH-konto, veebikeskkonna, haavatava konteineri või madala privileegiga teenusekasutaja kompromiteerimist. Saades root-juurdepääsu, saab ründaja välja lülitada kaitsemeetmed, lugeda saladusi, muuta logisid, rakendada püsimajäämist ja liikuda edasi infrastruktuuri.

Kasutajatele, keda võivad mõjutada rolling-release-distributsioonid, soovitatakse paigaldada viimased kerneli värskendused. Süsteemide puhul, kus kohene värskendus ei ole võimalik, mainitakse väljaannetes ajutisi meetmeid, nagu kasutamata rxrpc-moodulite ja seotud komponentide väljalülitamine, kuid sellised ringlahendused võivad rikkuda AFS-i ja osa IPsec/VPN-skenaaridest, seega tuleks neid rakendada alles pärast konkreetse süsteemi mõjude kontrollimist.

Enamikul lauadel ja serveri seadistustel on risk tõenäoliselt väiksem kui Copy Fail: DirtyDecrypt nõuab spetsiifilist tuumakonfiguratsiooni ja kohalikku koodi täitmist. Siiski on Fedora, Arch Linux, openSUSE Tumbleweed ja teised kiiresti uuendatavad tuumaga süsteemid seda probleemi põhjustanud: see ei ole enam teoreetiline aruanne, vaid haavatavus, millel on avalik PoC ja arusaadav tee privileegide tõstmiseks.

Allikas: linux.org.ru