Objavljen je proof-of-concept za ranjivost DirtyDecrypt, također poznat kao DirtyCBC, koji omogućuje lokalnom korisniku bez privilegija da dobije root prava na nekim Linux sustavima. Problem se nalazi u kodu rxgk pod sustavom RxRPC i povezan je s pisanjem u page cache zbog nedostatka provjere copy-on-write u funkciji rxgk_decrypt_skb(). O objavi PoC-a 18. svibnja 2026. godine izvijestio je BleepingComputer; sam PoC je objavljen u repozitoriju tima V12.
RxRPC je mrežni protokol jezgre Linuxa iznad UDP-a, osiguravajući pouzdan transport za udaljene operacije. U dokumentaciji jezgre izričito se navodi da AFS — Andrew File System — je primjer aplikacije koja koristi RxRPC, a sam protokol podržava pregovore o sigurnosti veze. Ova se domena odnosi na RxGK, koji se koristi za zaštićeni način rada RxRPC/AFS.
Prema opisu V12, DirtyDecrypt je još jedna varijanta ranjivosti klase CopyFail / Dirty Frag / Fragnesia. Sve one vrte se oko slične ideje: nepravilno rukovanje memorijom jezgre, page cache i baferima može omogućiti neprivilegiranom lokalnom procesu da utječe na podatke koji bi trebali biti nedostupni za pisanje. U slučaju DirtyDecrypt, riječ je o "rxgk pagecache write" zbog nedostatka COW zaštite u rxgk_decrypt_skb().
Tim V12 tvrdi da je otkrio i prijavio problem 9. svibnja 2026. godine, ali su odgovarajući programeri jezgre odgovorili da je to duplikat već ispravljene greške. Nakon toga, istraživači su objavili PoC, motivirajući to time da ispravak već postoji u mainline kernelu.
Situacija s CVE-om izgleda nije posve jednostavna. BleepingComputer izvještava da za ime DirtyDecrypt ne postoji zaseban službeni CVE u trenutku objave, ali analitičar Will Dormann povezuje objavljene detalje V12 s CVE-2026-31635, ispravljenom krajem travnja. U bazi NVD, CVE-2026-31635 opisuje se kao greška u rxrpc: funkcija rxgk_verify_response() nije pravilno provjeravala duljinu RESPONSE autentifikatora, zbog čega je predugačak autentifikator mogao ući u rxgk_decrypt_skb() i izazvati kod do BUG_ON(len).
To jest, javne publikacije povezuju DirtyDecrypt s CVE-2026-31635, ali formalni opis CVE u NVD za sada izgleda uži i govori prije svega o grešci provjere duljine u rxrpc, a ne izravno o aliasu DirtyDecrypt/DirtyCBC kao odvojenoj stavci. Stoga je ispravnije reći: DirtyDecrypt vjerojatno odgovara ili je blisko povezan s CVE-2026-31635, a ne tvrditi da je to službeni naziv CVE.
Za iskorištavanje je potrebno jezgro s uključenom opcijom CONFIG_RXGK, koja omogućuje podršku RxGK za AFS klijenta i mrežni transport. To značajno sužava krug pogođenih sustava: prvenstveno se radi o distribucijama koje brzo prate upstream jezgro, uključujući Fedora, Arch Linux i openSUSE Tumbleweed. Pritom BleepingComputer naglašava da je objavljeni V12 PoC testiran samo na Fedori i mainline jezgru.
DirtyDecrypt se pojavio na pozadini cijelog niza sličnih LPE ranjivosti u Linuxu. Ranije su objavljene Kopiranje nije uspjelo u algif_aead, Dirty Frag u mrežnim komponentama, a zatim Fragnesia u XFRM ESP-in-TCP. Microsoft opisala Dirty Frag kao lokalno povećanje privilegija preko komponenti esp4, esp6 i rxrpc, što omogućava napadaču da, nakon što stekne lokalni pristup, postane root i učvrsti se u sustavu.
Praktična opasnost takvih grešaka leži u tome što se često koriste nakon prvobitnog hakiranja: primjerice, nakon kompromitacije SSH računa, web shelle, ranjive kontejnere ili nisko privilegiranog servisnog korisnika. Dobivanjem root privilegija, napadač može onemogućiti zaštitne mjere, čitati tajne, mijenjati dnevničke zapise, provoditi persistenciju i napredovati dalje kroz infrastrukturu.
Korisnicima potencijalno pogođenih rolling-release distribucija preporučuje se instalacija najnovijih ažuriranja jezgra. Za sustave gdje odmah ažuriranje nije moguće, u publikacijama se spominju privremene mjere poput isključivanja neiskorištenih rxrpc modula i povezanih komponenti, no takva privremena rješenja mogu pokvariti AFS i dio IPsec/VPN scenarija, stoga ih treba primjenjivati tek nakon provjere utjecaja na određeni sustav.
Za većinu desktop i serverskih instalacija rizik je vjerojatno manji nego kod Copy Fail: DirtyDecrypt zahtijeva specifičnu konfiguraciju jezgra i lokalno izvršavanje koda. Ipak, za Fedoru, Arch Linux, openSUSE Tumbleweed i druge sustave s brzim ažuriranjem jezgra problem zaslužuje pažnju: ovo više nije teorijski izvještaj, već ranjivost s objavljenim PoC-om i jasnim putem do povećanja privilegija.
Izvor: linux.org.ru
