Објавен е доказ за концептот на ранливоста. DirtyDecrypt, исто така познат како Валкана ЦБЦ, дозволувајќи му на локален непривилегиран корисник да добие root привилегии на некои системи LinuxПроблемот е во кодот. rxgk подсистеми RxRPC и е поврзано со запишување во кешот на страницата поради недостаток на проверка за копирање при запишување во функцијата rxgk_decrypt_skb(). PoC беше објавен на 18 мај 2026 година од BleepingComputer; самиот PoC е објавен во Репозиториуми на тимот V12.
RxRPC е протокол за мрежа на јадрото. Linux преку UDP, обезбедувајќи сигурен транспорт за далечински операции. Документацијата на јадрото конкретно наведува дека AFS — Датотечниот систем „Ендру“ е пример за апликација што користи RxRPC, а самиот протокол поддржува преговори за безбедност на конекцијата. Тука влегува во игра RxGK, што се користи за безбедниот режим на RxRPC/AFS.
Според описот на V12, DirtyDecrypt е друга варијанта на класата на ранливости. КопирајФејл / Валкано фрагментирање / ФрагнезијаСите тие се вртат околу слична идеја: неправилната манипулација со меморијата на јадрото, кешот на страницата и баферите може да дозволи непривилегиран локален процес да влијае на податоци што треба да бидат незапишувачки. Во случајот на DirtyDecrypt, ова е „запишување во rxgk pagecache“ поради недостаток на COW заштита во rxgk_decrypt_skb().
Тимот на V12 тврди дека го открил и пријавил проблемот. 9 мај 2026 година, но одржувачите на јадрото одговорија дека станува збор за дупликат на веќе поправена грешка. Истражувачите потоа објавија доказ за концепт, тврдејќи дека поправката веќе била во главното јадро.
Ситуацијата со CVE не изгледа сосема едноставна. BleepingComputer известува дека во моментот на објавување не постои посебен официјален CVE за името DirtyDecrypt, но аналитичарот Вил Дорман ги поврзува деталите објавени од V12 со CVE-2026-31635, поправено на крајот на април. NVD го опишува CVE-2026-31635 како грешка во rxrpc: функцијата rxgk_verify_response() неправилно ја провери должината на RESPONSE автентикаторот, што може да резултира со тоа што премногу долг автентикатор ќе биде предаден на rxgk_decrypt_skb() и ќе предизвика кодот да не успее BUG_ON(len).
Тоа значи дека јавно достапните публикации го поврзуваат DirtyDecrypt со CVE-2026-31635, но формалниот опис на CVE во NVD моментално изгледа потесен и првенствено се однесува на грешка при проверка на должината во rxrpc, наместо директно на алијасот DirtyDecrypt/DirtyCBC како посебен запис. Затоа, поправилно е да се напише: DirtyDecrypt веројатно е конзистентен или тесно поврзан со CVE-2026-31635., наместо да тврди дека тоа е официјалното име на CVE.
За работа е потребно јадро со овозможена оваа опција. CONFIG_RXGK, што вклучува RxGK поддршка за AFS клиентот и мрежниот транспорт. Ова значително го стеснува опсегот на засегнати системи: првенствено, се однесува на дистрибуции кои брзо го следат јадрото нагоре, вклучувајќи Fedora, Лак Linux и openSUSE TumbleweedBleepingComputer нагласува дека објавениот V12 PoC е тестиран само на Fedora и главното јадро.
DirtyDecrypt се појави во позадина на цела серија слични производи Linux Ранливости на LPE. Претходно откриени. Копирај датотека во algif_aead, Валкано фрагментче во мрежните компоненти, а потоа Фрагнезија во XFRM ESP-во-TCP Microsoft опишан Dirty Frag како локална ескалација на привилегии преку компонентите esp4, esp6 и rxrpc, дозволувајќи му на напаѓачот да добие локален пристап и да се здобие со упориште во системот.
Практичната опасност од ваквите грешки е што тие често се експлоатираат по првичното пробивање: на пример, по компромитирање на SSH сметка, веб-шел, ранлив контејнер или корисник на услуга со ниски привилегии. Откако ќе добие root пристап, напаѓачот може да ги оневозможи безбедносните контроли, да чита тајни, да ги менува логовите, да распоредува перзистентност и да се движи понатаму низ инфраструктурата.
На корисниците на потенцијално засегнатите дистрибуции со ролинг-релокација им се препорачува да ги инсталираат најновите ажурирања на јадрото. За системи каде што не се можни моментални ажурирања, публикациите споменуваат привремени решенија како што се оневозможување на неискористените rxrpc модули и поврзаните компоненти. Сепак, ваквите заобиколувања може да го нарушат AFS и некои IPsec/VPN сценарија, па затоа треба да се применат само откако ќе се потврди влијанието врз одреден систем.
За повеќето десктоп и серверски инсталации, ризикот е веројатно помал од Copy Fail: DirtyDecrypt бара специфична конфигурација на јадрото и локално извршување на код. Сепак, за Fedora, Arch Linux, openSUSE Tumbleweed и други системи со брзи ажурирања на јадрото, проблемот заслужува внимание: повеќе не е теоретски извештај, туку ранливост со објавен доказ за концепт и јасен пат до ескалација на привилегиите.
Извор: linux.org.ru
