Une preuve de concept concernant cette vulnérabilité a été publiée. Décryptage sale, aussi connu sous le nom DirtyCBC, permettant à un utilisateur local non privilégié d'obtenir des privilèges root sur certains systèmes LinuxLe problème vient du code. rxgk sous-systèmes RxRPC et est lié à une écriture dans le cache de pages due à l'absence de vérification de copie sur écriture dans la fonction rxgk_decrypt_skb(). La preuve de concept a été publiée le 18 mai 2026 par BleepingComputer ; la preuve de concept elle-même est disponible dans dépôts de l'équipe V12.
RxRPC est un protocole réseau du noyau. Linux via UDP, assurant un transport fiable pour les opérations à distance. La documentation du noyau précise que AFS Andrew File System est un exemple d'application utilisant RxRPC, et ce protocole prend en charge la négociation de la sécurité des connexions. C'est là qu'intervient RxGK, utilisé pour le mode sécurisé de RxRPC/AFS.
D'après la description V12, DirtyDecrypt est une autre variante de cette classe de vulnérabilités. Échec de copie / Fragment sale / FragnesiaCes vulnérabilités reposent toutes sur un principe similaire : une manipulation incorrecte de la mémoire du noyau, du cache de pages et des tampons peut permettre à un processus local non privilégié d'accéder à des données normalement inaccessibles en écriture. Dans le cas de DirtyDecrypt, il s'agit d'une « écriture dans le cache de pages rxgk » due à l'absence de protection contre l'écriture sur écriture (COW) dans la fonction rxgk_decrypt_skb().
L'équipe V12 affirme avoir découvert et signalé le problème. 9 mai 2026 annéeLes responsables du noyau ont cependant répondu qu'il s'agissait d'un doublon d'un bogue déjà corrigé. Les chercheurs ont alors publié une preuve de concept, affirmant que le correctif était déjà intégré au noyau principal.
La situation concernant les CVE ne semble pas tout à fait simple. BleepingComputer indique qu'il n'existe pas de CVE officielle distincte pour le nom DirtyDecrypt au moment de la publication, mais l'analyste Will Dormann établit un lien entre les détails publiés par V12 et… CVE-2026-31635, corrigé fin avril. NVD décrit CVE-2026-31635 comme une erreur dans rxrpc : la fonction rxgk_verify_response() vérifiait incorrectement la longueur de l’authentificateur RESPONSE, ce qui pouvait entraîner la transmission d’un authentificateur trop long à rxgk_decrypt_skb() et provoquer l’échec du code BUG_ON(len).
Autrement dit, des publications accessibles au public établissent un lien entre DirtyDecrypt et… CVE-2026-31635Cependant, la description officielle de la CVE dans NVD semble actuellement plus restrictive et se réfère principalement à une erreur de vérification de longueur dans rxrpc, plutôt qu'à l'alias DirtyDecrypt/DirtyCBC comme une entrée distincte. Par conséquent, il est plus correct d'écrire : DirtyDecrypt est probablement cohérent avec ou étroitement lié à la vulnérabilité CVE-2026-31635., plutôt que de prétendre qu'il s'agit du nom officiel du CVE.
Un noyau avec cette option activée est requis pour le fonctionnement. CONFIG_RXGK, ce qui inclut la prise en charge de RxGK pour le client AFS et le transport réseau. Cela réduit considérablement le nombre de systèmes concernés : il s’agit principalement des distributions qui adoptent rapidement le noyau Linux d’origine, notamment Fedora, Ponts en arc Linux и openSUSE TumbleweedBleepingComputer souligne que la preuve de concept V12 publiée n'a été testée que sur Fedora et le noyau principal.
DirtyDecrypt a émergé dans un contexte marqué par l'apparition de toute une série de produits similaires. Linux Vulnérabilités LPE. Déjà divulguées Échec de la copie dans algif_aead, Fragment sale dans les composants du réseau, puis Fragnesia dans XFRM ESP-in-TCP Microsoft décrit Dirty Frag est une technique d'élévation de privilèges locale via les composants esp4, esp6 et rxrpc, permettant à un attaquant d'obtenir un accès local et de s'implanter dans le système.
Le danger pratique de telles erreurs réside dans leur exploitation fréquente après la brèche initiale : par exemple, après la compromission d’un compte SSH, d’un shell web, d’un conteneur vulnérable ou d’un utilisateur de service disposant de privilèges limités. Une fois l’accès root obtenu, un attaquant peut désactiver les contrôles de sécurité, lire des secrets, modifier les journaux, déployer des mécanismes de persistance et progresser plus profondément dans l’infrastructure.
Il est conseillé aux utilisateurs de distributions à mise à jour continue potentiellement affectées d'installer les dernières mises à jour du noyau. Pour les systèmes où les mises à jour immédiates ne sont pas possibles, les publications mentionnent des solutions temporaires telles que la désactivation des modules rxrpc inutilisés et des composants associés. Cependant, ces solutions de contournement peuvent perturber le fonctionnement d'AFS et certains scénarios IPsec/VPN ; elles ne doivent donc être appliquées qu'après avoir confirmé leur impact sur un système spécifique.
Pour la plupart des installations de bureau et serveur, le risque est probablement inférieur à celui d'un échec de copie : DirtyDecrypt nécessite une configuration spécifique du noyau et l'exécution de code local. Cependant, pour Fedora et Arch LinuxSur openSUSE Tumbleweed et d'autres systèmes bénéficiant de mises à jour rapides du noyau, le problème mérite l'attention : il ne s'agit plus d'un rapport théorique, mais d'une vulnérabilité avec une preuve de concept publiée et une voie claire vers une élévation de privilèges.
Source: linux.org.ru
