Pubblicato il proof-of-concept per la vulnerabilità DirtyDecrypt, noto anche come DirtyCBC, che consente a un utente locale non privilegiato di ottenere diritti di root su alcuni sistemi Linux. Il problema risiede nel codice rxgk del sottosistema RxRPC ed è legato alla scrittura nella cache delle pagine a causa della mancanza di un controllo copy-on-write nella funzione rxgk_decrypt_skb(). La pubblicazione del PoC il 18 maggio 2026 è stata riportata dal sito BleepingComputer; il PoC stesso è stato caricato nel repository del team V12.
RxRPC è un protocollo di rete del kernel Linux sopra UDP, che fornisce un trasporto affidabile per operazioni remote. Nella documentazione del kernel viene specificato separatamente che AFS — Andrew File System — è un esempio di applicazione che utilizza RxRPC, e il protocollo stesso supporta le trattative sulla sicurezza della connessione. Questa area è quella a cui si riferisce RxGK, utilizzato per la modalità sicura RxRPC/AFS.
Secondo quanto descritto da V12, DirtyDecrypt è un'altra variante delle vulnerabilità della classe CopyFail / Dirty Frag / Fragnesia. Tutte ruotano attorno a un'idea simile: un'interazione scorretta con la memoria del kernel, la cache delle pagine e i buffer può consentire a un processo locale non privilegiato di influenzare i dati che dovrebbero essere inaccessibili per la scrittura. Nel caso di DirtyDecrypt si tratta di una "scrittura nella cache delle pagine rxgk" a causa della mancanza di protezione COW in rxgk_decrypt_skb().
Il team V12 sostiene di aver scoperto e segnalato il problema 9 maggio 2026, ma i manutentori del kernel hanno risposto che si tratta di un duplicato di un errore già corretto. Dopo ciò, i ricercatori hanno pubblicato il PoC, motivando la loro azione con il fatto che la correzione è già presente nel kernel mainline.
Per quanto riguarda il CVE, la situazione appare non del tutto lineare. BleepingComputer riporta che non esiste un CVE ufficiale separato specificamente per il nome DirtyDecrypt al momento della pubblicazione, ma l'analista Will Dormann collega le informazioni pubblicate da V12 con CVE-2026-31635, corretta alla fine di aprile. Nella base NVD, CVE-2026-31635 è descritta come un errore in rxrpc: la funzione rxgk_verify_response() non verificava correttamente la lunghezza dell'autenticatore di RESPONSE, a causa della quale un autenticatore troppo grande poteva entrare in rxgk_decrypt_skb() e portare il codice a BUG_ON(len).
Quindi, le pubblicazioni pubbliche legano DirtyDecrypt a CVE-2026-31635, ma la descrizione formale del CVE nella NVD appare per ora più ristretta e parla principalmente di un errore nel controllo della lunghezza in rxrpc, piuttosto che del alias DirtyDecrypt/DirtyCBC come di una voce separata. Pertanto, sarebbe più corretto affermare che DirtyDecrypt corrisponde probabilmente o è strettamente legato a CVE-2026-31635, e non affermare che sia il nome ufficiale del CVE.
Per l'operatività è necessario un kernel con l'opzione abilitata CONFIG_RXGK, che include il supporto per RxGK per il client AFS e il trasporto di rete. Questo restringe notevolmente il numero di sistemi interessati: si tratta principalmente di distribuzioni che seguono rapidamente il kernel upstream, comprese Fedora, Arch Linux e openSUSE Tumbleweed. Allo stesso tempo, BleepingComputer sottolinea che il PoC V12 pubblicato è stato testato solo su Fedora e sul kernel mainline.
DirtyDecrypt è emerso a fronte di una serie di vulnerabilità LPE simili in Linux. In precedenza erano state rivelate Copy Fail in algif_aead, Dirty Frag nei componenti di rete, e poi Fragnesia in XFRM ESP-in-TCP. Microsoft ha descritto Dirty Frag come un elevamento di privilegi locale attraverso i componenti esp4, esp6 e rxrpc, che consente all'attaccante, dopo aver ottenuto accesso locale, di ottenere i diritti di root e di stabilizzarsi nel sistema.
Il pericolo pratico di tali errori risiede nel fatto che vengono spesso utilizzati già dopo l'intrusione iniziale: ad esempio, dopo la compromissione di un account SSH, web shell, contenitore vulnerabile o utente di servizio a bassa privilegio. Ottenendo i diritti di root, l'attaccante può disabilitare le misure di protezione, leggere segreti, modificare registri, implementare la persistenza e avanzare ulteriormente nell'infrastruttura.
Agli utenti delle distribuzioni rolling-release potenzialmente interessate si consiglia di installare gli ultimi aggiornamenti del kernel. Per i sistemi in cui l'aggiornamento immediato non è possibile, nei documenti sono menzionate misure temporanee come la disattivazione dei moduli rxrpc non utilizzati e dei componenti correlati, tuttavia tali soluzioni alternative potrebbero rompere AFS e parte degli scenari IPsec/VPN, quindi devono essere applicate solo dopo aver verificato l'impatto sul sistema specifico.
Per la maggior parte delle installazioni desktop e server, il rischio è probabilmente inferiore rispetto a Copy Fail: DirtyDecrypt richiede una configurazione specifica del kernel e l'esecuzione locale del codice. Tuttavia, per Fedora, Arch Linux, openSUSE Tumbleweed e altri sistemi con aggiornamenti rapidi del kernel, il problema merita attenzione: non si tratta più di un rapporto teorico, ma di una vulnerabilità con PoC pubblicato e un chiaro percorso per l'elevazione dei privilegi.
Fonte: linux.org.ru
