Pubblicato un proof-of-concept per una vulnerabilità DirtyDecrypt, noto anche come DirtyCBC, che consente a un utente non privilegiato locale di ottenere i diritti di root su alcune versioni di Linux. Il problema risiede nel codice rxgk della sottosistema RxRPC ed è correlato alla scrittura nella cache di pagina a causa della mancanza di controllo sul copy-on-write nella funzione rxgk_decrypt_skb(). La pubblicazione del PoC è stata riferita dal sito BleepingComputer il 18 maggio 2026; il PoC stesso è stato caricato nel repository del team V12.
RxRPC è un protocollo di rete del kernel Linux sopra UDP, che fornisce un trasporto affidabile per operazioni remote. Nella documentazione del kernel è specificato che AFS — Andrew File System — è un esempio di applicazione che utilizza RxRPC, e il protocollo stesso supporta le negoziazioni di sicurezza della connessione. Questa area è quella a cui si riferisce RxGK, utilizzato per la modalità protetta di RxRPC/AFS.
Secondo la descrizione del V12, DirtyDecrypt è un altro tipo di vulnerabilità della classe CopyFail / Dirty Frag / Fragnesia. Tutti ruotano attorno a un'idea simile: una gestione scorretta della memoria del kernel, della cache delle pagine e dei buffer può consentire a un processo locale non privilegiato di influenzare i dati che dovrebbero essere inaccessibili per la scrittura. Nel caso di DirtyDecrypt si tratta di «rxgk pagecache write» a causa della mancanza di protezione COW in rxgk_decrypt_skb().
Il team V12 afferma di aver scoperto e segnalato il problema 9 maggio 2026, ma i manutentori del kernel hanno risposto che si tratta di un duplicato di un errore già corretto. Successivamente, i ricercatori hanno pubblicato un PoC, motivando che la correzione è già presente nel kernel mainline.
La situazione con il CVE non è del tutto lineare. BleepingComputer riporta che al momento della pubblicazione non esiste un CVE ufficiale separato per il nome DirtyDecrypt, ma l'analista Will Dormann collega i dettagli pubblicati da V12 a CVE-2026-31635, corretto alla fine di aprile. Nel database NVD, CVE-2026-31635 è descritto come un errore in rxrpc: la funzione rxgk_verify_response() verificava in modo errato la lunghezza dell'autenticatore RESPONSE, il che poteva far sì che un autenticatore troppo grande entrasse in rxgk_decrypt_skb() e portasse il codice a BUG_ON(len).
Quindi, le pubblicazioni pubbliche collegano DirtyDecrypt a CVE-2026-31635, ma la descrizione formale del CVE nel NVD appare ancora più ristretta e parla principalmente di un errore di controllo della lunghezza in rxrpc, e non direttamente di alias DirtyDecrypt/DirtyCBC come un record separato. Quindi è più corretto scrivere: DirtyDecrypt è probabilmente corrispondente o strettamente correlato a CVE-2026-31635, e non affermare che questo sia il nome ufficiale del CVE.
Per l'esploitazione è necessario un kernel con l'opzione abilitata CONFIG_RXGK, che abilita il supporto RxGK per il client AFS e il trasporto di rete. Questo restringe notevolmente il numero di sistemi interessati: si parla principalmente di distribuzioni che seguono rapidamente il kernel upstream, inclusi Fedora, Arch Linux e openSUSE Tumbleweed. Allo stesso tempo, BleepingComputer sottolinea che il V12 PoC pubblicato è stato testato solo su Fedora e kernel mainline.
DirtyDecrypt è emerso in un contesto di una serie di vulnerabilità di tipo LPE in Linux simili. In precedenza erano state rivelate Copy Fail in algif_aead, Dirty Frag in componenti di rete, e poi Fragnesia in XFRM ESP-in-TCP. Microsoft ha descritto Dirty Frag come un elevamento locale dei privilegi attraverso i componenti esp4, esp6 e rxrpc, che consente all'attaccante, dopo aver ottenuto accesso locale, di elevarsi a root e stabilirsi nel sistema.
Il pericolo pratico di tali errori è che vengano spesso sfruttati già dopo un primo attacco: ad esempio, dopo la compromissione di un account SSH, di un web shell, di un contenitore vulnerabile o di un utente di servizio con privilegi bassi. Ottenendo i diritti di root, l'attaccante può disattivare le misure di protezione, leggere segreti, modificare i log, implementare la persistenza e avanzare ulteriormente nell'infrastruttura.
Agli utenti di distribuzioni rolling-release potenzialmente colpite si consiglia di installare gli ultimi aggiornamenti del kernel. Per i sistemi in cui l'aggiornamento immediato non è possibile, le pubblicazioni menzionano misure temporanee come la disabilitazione dei moduli rxrpc non utilizzati e dei componenti correlati, tuttavia queste soluzioni alternative potrebbero compromettere AFS e alcuni scenari IPsec/VPN, quindi dovrebbero essere applicate solo dopo aver verificato l'impatto sul sistema specifico.
Per la maggior parte delle installazioni desktop e server, il rischio è probabilmente inferiore a quello di Copy Fail: DirtyDecrypt richiede una configurazione del kernel specifica e l'esecuzione locale del codice. Tuttavia, per Fedora, Arch Linux, openSUSE Tumbleweed e altri sistemi con aggiornamenti rapidi del kernel, il problema merita attenzione: non si tratta più di un report teorico, ma di una vulnerabilità con PoC pubblicato e un chiaro percorso per l'escalation dei privilegi.
Fonte: linux.org.ru
