A sebezhetőség koncepciójának bizonyítását közzétették. DirtyDecrypt, más néven DirtyCBC, lehetővé téve egy helyi, nem privilégiumozott felhasználó számára, hogy root jogosultságokat szerezzen bizonyos rendszereken LinuxA probléma a kódban van. rxgk alrendszerek RxRPC és egy oldal gyorsítótár-íráshoz kapcsolódik, amelyet az rxgk_decrypt_skb() függvényben hiányzó másolás-íráskor ellenőrzés okozott. A PoC-t 2026. május 18-án tette közzé a BleepingComputer; maga a PoC itt található: V12 csapat adattárak.
Az RxRPC egy kernel hálózati protokoll. Linux UDP-n keresztül, megbízható átvitelt biztosítva a távoli műveletekhez. A kernel dokumentációja kifejezetten kimondja, hogy SFA – Az Andrew File System egy példa az RxRPC-t használó alkalmazásokra, és maga a protokoll támogatja a kapcsolatbiztonsági tárgyalásokat. Itt jön képbe az RxRPC/AFS biztonságos módjához használt RxGK.
A V12 leírás szerint a DirtyDecrypt a sebezhetőségek egy másik változata. Másolási hiba / Dirty Frag / FragnesiaMindegyik hasonló elképzelés köré épül: a kernel memória, a lapgyorsítótár és a pufferek helytelen manipulálása lehetővé teheti, hogy egy nem privilégizált helyi folyamat olyan adatokat is befolyásoljon, amelyeknek írhatatlannak kellene lenniük. A DirtyDecrypt esetében ez egy „rxgk lapgyorsítótár írás” az rxgk_decrypt_skb() függvényben hiányzó COW védelem miatt.
A V12 csapata azt állítja, hogy felfedezte és jelentette a problémát. 9 May 2026 év, de a kernel karbantartói azt válaszolták, hogy ez egy már kijavított hiba másolata. A kutatók ezután közzétettek egy koncepcióbizonyítást, azt állítva, hogy a javítás már a fő kernelben szerepel.
A CVE-kkel kapcsolatos helyzet nem tűnik teljesen egyértelműnek. A BleepingComputer jelentése szerint a publikáció időpontjában nincs külön hivatalos CVE a DirtyDecrypt névhez, de Will Dormann elemző a V12 által közzétett részleteket a következőhöz köti: CVE-2026 31635-, április végén javítva. Az NVD a CVE-2026-31635-öt az rxrpc hibájaként írja le: az rxgk_verify_response() függvény helytelenül ellenőrizte a RESPONSE hitelesítő hosszát, ami azt eredményezhette, hogy egy túl hosszú hitelesítő került átadásra az rxgk_decrypt_skb() függvénynek, és a kód BUG_ON(len) hibát okozott.
Vagyis a nyilvánosan elérhető kiadványok a DirtyDecrypt-et a következőhöz kapcsolják: CVE-2026 31635-, de az NVD-ben található hivatalos CVE leírás jelenleg szűkebbnek tűnik, és elsősorban az rxrpc hossz-ellenőrzési hibájára utal, ahelyett, hogy közvetlenül a DirtyDecrypt/DirtyCBC aliasra külön bejegyzésként hivatkozna. Ezért helyesebb ezt írni: A DirtyDecrypt valószínűleg összhangban van a CVE-2026-31635-tel, vagy szorosan kapcsolódik ahhoz., ahelyett, hogy azt állítanák, hogy ez a hivatalos CVE név.
A működéshez olyan kernel szükséges, amelyben ez az opció engedélyezve van. CONFIG_RXGK, amely magában foglalja az RxGK támogatást az AFS klienshez és a hálózati átvitelhez. Ez jelentősen leszűkíti az érintett rendszerek körét: elsősorban azokat a disztribúciókat érinti, amelyek gyorsan követik az upstream kernelt, beleértve a Fedora, Bolthajtás Linux и openSUSE TumbleweedA BleepingComputer hangsúlyozza, hogy a közzétett V12 PoC-ot csak Fedorán és a mainline kernelen tesztelték.
A DirtyDecrypt számos hasonló termék hátterében jelent meg. Linux LPE sebezhetőségek. Korábban nyilvánosságra hozták. Másolási hiba az algif_aead-ban, Piszkos töredék a hálózati komponensekben, majd Fragnesia XFRM ESP-TCP-ben Microsoft leírta A Dirty Frag egy helyi privilégium eszkaláció az esp4, esp6 és rxrpc komponenseken keresztül, lehetővé téve a támadó számára, hogy helyi hozzáférést szerezzen és megvesse a lábát a rendszerben.
Az ilyen hibák gyakorlati veszélye, hogy gyakran a kezdeti behatolás után használják ki őket: például egy SSH-fiók, webes shell, sebezhető konténer vagy alacsony jogosultságú szolgáltatásfelhasználó feltörése után. A root hozzáférés megszerzése után a támadó letilthatja a biztonsági ellenőrzéseket, elolvashatja a titkos kódokat, módosíthatja a naplókat, telepíthet biztonsági mentéseket, és továbbléphet az infrastruktúrában.
A potenciálisan érintett gördülő kiadású disztribúciók felhasználóinak ajánlott telepíteniük a legújabb kernelfrissítéseket. Azon rendszerek esetében, ahol az azonnali frissítések nem lehetségesek, a kiadványok ideiglenes megoldásokat említenek, például a nem használt rxrpc modulok és a kapcsolódó komponensek letiltását. Az ilyen kerülő megoldások azonban sérthetik az AFS-t és egyes IPsec/VPN-forgatókönyveket, ezért csak az adott rendszerre gyakorolt hatás megerősítése után szabad alkalmazni őket.
A legtöbb asztali és szervertelepítés esetén a kockázat valószínűleg alacsonyabb, mint a Másolási hiba: a DirtyDecrypt speciális kernelkonfigurációt és helyi kódfuttatást igényel. A Fedora esetében azonban az Arch... Linux, az openSUSE Tumbleweed és más, gyors kernelfrissítéseket kínáló rendszerek esetében a probléma figyelmet érdemel: ez már nem egy elméleti jelentés, hanem egy olyan sebezhetőség, amelyre vonatkozóan közzétették a koncepció bizonyítását és egyértelmű utat mutat a jogosultságok eszkalációjához.
Forrás: linux.org.ru
