Megjelent a proof-of-concept a sebezhetőséghez DirtyDecrypt, más néven DirtyCBC, amely lehetővé teszi, hogy egy helyi, nem privilegizált felhasználó root jogokat szerezzen néhány Linux rendszeren. A probléma a kódban található rxgk alrendszerben RxRPC , és a page cache-be történő írással függ össze, amely a copy-on-write ellenőrzés hiánya miatt fordul elő az rxgk_decrypt_skb() funkcióban. A PoC megjelenéséről 2026. május 18-án számolt be a BleepingComputer; a PoC maga a V12 csapat tárolójában található.
Az RxRPC egy Linux kernel hálózati protokoll UDP fölött, amely megbízható szállítást biztosít távoli műveletekhez. A kernel dokumentációban külön hangsúlyozzák, hogy AFS — Andrew File System — például az RxRPC-t használó alkalmazás. Magának a protokollnak a biztonsági tárgyalások támogatása is a feladata. Ezzel a területtel kapcsolatos az RxGK is, amelyet a RxRPC/AFS védett módjához használnak.
A V12 leírása szerint a DirtyDecrypt a sebezhetőségek egy újabb variánsa CopyFail / Dirty Frag / Fragnesia. Mindegyik a hasonló ötlet körül forog: a kernel memóriával, a page cache-sel és a pufferekkel való helytelen kezelés lehetővé teheti, hogy egy nem privilegizált helyi folyamat befolyásolja azokat az adatokat, amelyekhez nem lenne szabad hozzáférnie. A DirtyDecrypt esetében a "rxgk pagecache write" problémáról van szó, a COW-védelem hiánya miatt az rxgk_decrypt_skb() funkcióban.
A V12 csapat azt állítja, hogy május 9-én 2026-ban felfedezte és jelentette a problémát 2026. május 9-én., de a kernelfejlesztők azt válaszolták, hogy ez már kijavított hiba duplikációja. Ezt követően a kutatók publikálták a PoC-t, azzal az indoklással, hogy a javítás már a mainline kernelben található.
A CVE helyzete nem teljesen egyértelmű. A BleepingComputer arról számol be, hogy külön hivatalos CVE nincs kifejezetten a DirtyDecrypt névhez a közzététel időpontjában, de Will Dormann elemző összekapcsolja a közzétett V12 részleteket a CVE-2026-31635, amelyet április végén javítottak. A NVD adatbázisban a CVE-2026-31635 úgy van leírva, mint egy hiba az rxrpc-ben: az rxgk_verify_response() függvény helytelenül ellenőrizte a RESPONSE hitelesítő azonosító hosszát, ami miatt egy túl nagy hitelesítő bejuthatott az rxgk_decrypt_skb()-be, és a kódot a BUG_ON(len) pontjára juttatta.
Ezért a nyilvános kiadványok a DirtyDecrypt-et kötik össze CVE-2026-31635, de a NVD-ben található hivatalos CVE leírása egyelőre szűkebb és elsősorban az rxrpc-ben lévő hosszellenőrzési hibáról beszél, nem közvetlenül a DirtyDecrypt/DirtyCBC név mint külön bejegyzésről. Ezért helyesebb lenne ezt írni: A DirtyDecrypt valószínűleg megfelel vagy szorosan kapcsolódik a CVE-2026-31635-höz., és nem állítani, hogy ez a hivatalos neve a CVE-nek.
A kihasználáshoz szükséges egy olyan kernel, amelyben engedélyezve van a CONFIG_RXGK, amely lehetővé teszi az RxGK támogatását az AFS kliens és a hálózati szállítás számára. Ez jelentősen szűkíti a érintett rendszerek körét: elsősorban azok a disztribúciók érintettek, amelyek gyorsan követik az upstream kernelt, beleértve Fedora, Arch Linux és openSUSE Tumbleweed. Ezzel együtt a BleepingComputer kiemeli, hogy a közzétett V12 PoC csak a Fedora és a mainline kernel esetében lett tesztelve.
A DirtyDecrypt a Linux LPE sérülékenységek egy sorozatának hátterében jelent meg. Korábban felfedték Másolási hiba az algif_aead-ot, Dirty Frag a hálózati komponensekben, majd Fragnesia az XFRM ESP-in-TCP-ben. A Microsoft leírta a Dirty Frag-t mint lokális jogosultság-növelést az esp4, esp6 és rxrpc komponensek révén, amely lehetővé teszi a támadó számára, hogy a helyi hozzáférés megszerzése után root jogokat szerezzen és rögzítse magát a rendszerben.
Ezeknek a hibáknak a gyakorlati veszélye abban rejlik, hogy gyakran használják őket a kezdeti feltörés után: például SSH-felhasználói fiók, web shell, sérülékeny konténer vagy alacsony jogosultságú szolgáltató felhasználó kompromittálásakor. Miután megszerezte a root jogosultságot, a támadó letilthatja a védelmi eszközöket, olvashatja a titkos adatokat, módosíthatja a naplókat, fenntarthatóságot alakíthat ki és továbbléphet az infrastruktúrán.
A potenciálisan érintett rolling-release disztribúciók felhasználóinak ajánlott az utolsó kernel frissítések telepítése. Az olyan rendszerek számára, ahol a sürgős frissítés nem lehetséges, a publikációk említenek ideiglenes intézkedéseket, például a nem használt rxrpc modulok és kapcsolódó komponensek letiltását, azonban ezek a munkahelyi megoldások megszakíthatják az AFS-t és néhány IPsec/VPN forgatókönyvet, így ezeket csak a konkrét rendszerre gyakorolt hatás ellenőrzése után szabad alkalmazni.
A legtöbb asztali és szerver telepítés esetén a kockázat valószínűleg alacsonyabb, mint a Copy Fail esetén: a DirtyDecrypt megköveteli a konkrét kernel konfigurációt és a helyi kód végrehajtását. Ennek ellenére a Fedora, Arch Linux, openSUSE Tumbleweed és egyéb gyors kernel-frissítési rendszer esetén a probléma figyelmet érdemel: ez már nem egy elméleti jelentés, hanem egy közzétett PoC-val rendelkező sérülékenység, amely világos utat ad a jogosultságok növelésére.
Forrás: linux.org.ru
