{"id":181690,"date":"2026-05-23T18:24:43","date_gmt":"2026-05-23T16:24:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux"},"modified":"2026-05-23T18:24:43","modified_gmt":"2026-05-23T16:24:43","slug":"opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux","title":{"rendered":"Pubblicato PoC per DirtyDecrypt \u2014 una nuova vulnerabilit\u00e0 LPE nel kernel Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

<\/p>\n

Pubblicato un proof-of-concept per una vulnerabilit\u00e0 DirtyDecrypt<\/strong>, noto anche come DirtyCBC<\/strong>, che consente a un utente non privilegiato locale di ottenere i diritti di root su alcune versioni di Linux. Il problema risiede nel codice rxgk<\/strong> della sottosistema RxRPC<\/strong> ed \u00e8 correlato alla scrittura nella cache di pagina a causa della mancanza di controllo sul copy-on-write nella funzione rxgk_decrypt_skb(). La pubblicazione del PoC \u00e8 stata riferita dal sito BleepingComputer il 18 maggio 2026; il PoC stesso \u00e8 stato caricato nel repository del team V12<\/a>.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

RxRPC \u00e8 un protocollo di rete del kernel Linux<\/a> sopra UDP, che fornisce un trasporto affidabile per operazioni remote. Nella documentazione del kernel \u00e8 specificato che AFS<\/strong> \u2014 Andrew File System \u2014 \u00e8 un esempio di applicazione che utilizza RxRPC, e il protocollo stesso supporta le negoziazioni di sicurezza della connessione. Questa area \u00e8 quella a cui si riferisce RxGK, utilizzato per la modalit\u00e0 protetta di RxRPC\/AFS.<\/p>\n

<\/noindex><\/p>\n

Secondo la descrizione del V12, DirtyDecrypt \u00e8 un altro tipo di vulnerabilit\u00e0 della classe CopyFail \/ Dirty Frag \/ Fragnesia<\/strong>. Tutti ruotano attorno a un'idea simile: una gestione scorretta della memoria del kernel, della cache delle pagine e dei buffer pu\u00f2 consentire a un processo locale non privilegiato di influenzare i dati che dovrebbero essere inaccessibili per la scrittura. Nel caso di DirtyDecrypt si tratta di \u00abrxgk pagecache write\u00bb a causa della mancanza di protezione COW in rxgk_decrypt_skb().<\/p>\n

Il team V12 afferma di aver scoperto e segnalato il problema 9 maggio 2026<\/strong>, ma i manutentori del kernel hanno risposto che si tratta di un duplicato di un errore gi\u00e0 corretto. Successivamente, i ricercatori hanno pubblicato un PoC, motivando che la correzione \u00e8 gi\u00e0 presente nel kernel mainline.<\/p>\n

La situazione con il CVE non \u00e8 del tutto lineare. BleepingComputer riporta che al momento della pubblicazione non esiste un CVE ufficiale separato per il nome DirtyDecrypt, ma l'analista Will Dormann collega i dettagli pubblicati da V12 a CVE-2026-31635<\/strong>, corretto alla fine di aprile. Nel database NVD, CVE-2026-31635 \u00e8 descritto come un errore in rxrpc: la funzione rxgk_verify_response() verificava in modo errato la lunghezza dell'autenticatore RESPONSE, il che poteva far s\u00ec che un autenticatore troppo grande entrasse in rxgk_decrypt_skb() e portasse il codice a BUG_ON(len).<\/p>\n

<\/p>\n

Quindi, le pubblicazioni pubbliche collegano DirtyDecrypt a CVE-2026-31635<\/a><\/strong>, ma la descrizione formale del CVE nel NVD appare ancora pi\u00f9 ristretta e parla principalmente di un errore di controllo della lunghezza in rxrpc, e non direttamente di alias DirtyDecrypt\/DirtyCBC come un record separato. Quindi \u00e8 pi\u00f9 corretto scrivere: DirtyDecrypt \u00e8 probabilmente corrispondente o strettamente correlato a CVE-2026-31635<\/em>, e non affermare che questo sia il nome ufficiale del CVE.<\/p>\n

<\/noindex><\/p>\n

Per l'esploitazione \u00e8 necessario un kernel con l'opzione abilitata CONFIG_RXGK<\/strong>, che abilita il supporto RxGK per il client AFS e il trasporto di rete. Questo restringe notevolmente il numero di sistemi interessati: si parla principalmente di distribuzioni che seguono rapidamente il kernel upstream, inclusi Fedora<\/strong>, Arch Linux<\/strong> e openSUSE Tumbleweed<\/strong>. Allo stesso tempo, BleepingComputer sottolinea che il V12 PoC pubblicato \u00e8 stato testato solo su Fedora e kernel mainline.<\/p>\n

<\/p>\n

DirtyDecrypt \u00e8 emerso in un contesto di una serie di vulnerabilit\u00e0 di tipo LPE in Linux simili. In precedenza erano state rivelate Copy Fail<\/strong> in algif_aead, Dirty Frag<\/strong> in componenti di rete, e poi Fragnesia<\/strong> in XFRM ESP-in-TCP. Microsoft ha descritto<\/a> Dirty Frag come un elevamento locale dei privilegi attraverso i componenti esp4, esp6 e rxrpc, che consente all'attaccante, dopo aver ottenuto accesso locale, di elevarsi a root e stabilirsi nel sistema.<\/p>\n

<\/noindex><\/p>\n

Il pericolo pratico di tali errori \u00e8 che vengano spesso sfruttati gi\u00e0 dopo un primo attacco: ad esempio, dopo la compromissione di un account SSH, di un web shell, di un contenitore vulnerabile o di un utente di servizio con privilegi bassi. Ottenendo i diritti di root, l'attaccante pu\u00f2 disattivare le misure di protezione, leggere segreti, modificare i log, implementare la persistenza e avanzare ulteriormente nell'infrastruttura.<\/p>\n

Agli utenti di distribuzioni rolling-release potenzialmente colpite si consiglia di installare gli ultimi aggiornamenti del kernel. Per i sistemi in cui l'aggiornamento immediato non \u00e8 possibile, le pubblicazioni menzionano misure temporanee come la disabilitazione dei moduli rxrpc non utilizzati e dei componenti correlati, tuttavia queste soluzioni alternative potrebbero compromettere AFS e alcuni scenari IPsec\/VPN, quindi dovrebbero essere applicate solo dopo aver verificato l'impatto sul sistema specifico.<\/p>\n

Per la maggior parte delle installazioni desktop e server, il rischio \u00e8 probabilmente inferiore a quello di Copy Fail: DirtyDecrypt richiede una configurazione del kernel specifica e l'esecuzione locale del codice. Tuttavia, per Fedora, Arch Linux, openSUSE Tumbleweed e altri sistemi con aggiornamenti rapidi del kernel, il problema merita attenzione: non si tratta pi\u00f9 di un report teorico, ma di una vulnerabilit\u00e0 con PoC pubblicato e un chiaro percorso per l'escalation dei privilegi.<\/p>\n

Fonte: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d proof-of-concept \u0434\u043b\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 DirtyDecrypt, \u0442\u0430\u043a\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043a\u0430\u043a DirtyCBC, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 root \u043d\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 Linux. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043a\u043e\u0434\u0435 rxgk \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u044b RxRPC \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u0432 page cache \u0438\u0437-\u0437\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 copy-on-write \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 rxgk_decrypt_skb(). \u041e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 PoC 18 \u043c\u0430\u044f 2026 \u0433\u043e\u0434\u0430 \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u043e \u0438\u0437\u0434\u0430\u043d\u0438\u0435 BleepingComputer; \u0441\u0430\u043c PoC \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181690","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Pubblicato PoC per DirtyDecrypt \u2014 una nuova vulnerabilit\u00e0 LPE nel kernel Linux | ProHoster","description":"\u00c8 stato pubblicato un proof-of-concept per la vulnerabilit\u00e0 DirtyDecrypt, nota anche come DirtyCBC, che consente a un utente locale non privilegiato di ottenere diritti root su alcuni sistemi Linux. Il problema si trova nel codice della sottosistema RxRPC di rxgk ed \u00e8 correlato alla scrittura nella cache della pagina a causa della mancanza di controllo copy-on-write nella funzione rxgk_decrypt_skb(). La pubblicazione del PoC \u00e8 stata riportata il 18 maggio 2026 da BleepingComputer; il PoC stesso \u00e8 stato pubblicato in","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d PoC \u0434\u043b\u044f DirtyDecrypt \u2014 \u043d\u043e\u0432\u043e\u0439 LPE-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u044f\u0434\u0440\u0435 Linux | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d proof-of-concept \u0434\u043b\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 DirtyDecrypt, \u0442\u0430\u043a\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043a\u0430\u043a DirtyCBC, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 root \u043d\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 Linux. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043a\u043e\u0434\u0435 rxgk \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u044b RxRPC \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u0432 page cache \u0438\u0437-\u0437\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 copy-on-write \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 rxgk_decrypt_skb(). \u041e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 PoC 18 \u043c\u0430\u044f 2026 \u0433\u043e\u0434\u0430 \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u043e \u0438\u0437\u0434\u0430\u043d\u0438\u0435 BleepingComputer; \u0441\u0430\u043c PoC \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d \u0432","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/opublikovan-poc-dlya-dirtydecrypt-novoj-lpe-uyazvimosti-v-yadre-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-23T16:24:43+00:00","article:modified_time":"2026-05-23T16:24:43+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/181690","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=181690"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/181690\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=181690"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=181690"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=181690"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}