Bol zverejnený dôkaz konceptu zraniteľnosti. DirtyDecrypt, tiež známy ako DirtyCBC, čo umožňuje lokálnemu neprivilegovanému používateľovi získať root privilégiá na niektorých systémoch LinuxProblém je v kóde. rxgk subsystémy RxRPC a súvisí so zápisom do vyrovnávacej pamäte stránok z dôvodu chýbajúcej kontroly kopírovania pri zápise vo funkcii rxgk_decrypt_skb(). PoC bol publikovaný 18. mája 2026 spoločnosťou BleepingComputer; samotný PoC je uverejnený v Tímové repozitáre V12.
RxRPC je sieťový protokol jadra. Linux cez UDP, čo zabezpečuje spoľahlivý prenos pre vzdialené operácie. Dokumentácia jadra výslovne uvádza, že AFS — Andrew File System je príkladom aplikácie, ktorá používa RxRPC a samotný protokol podporuje vyjednávania o zabezpečení pripojenia. Tu prichádza na rad RxGK, používaný pre zabezpečený režim RxRPC/AFS.
Podľa popisu V12 je DirtyDecrypt ďalším variantom tejto triedy zraniteľností. Zlyhanie kopírovania / Dirty Frag / FragnesiaVšetky sa točia okolo podobnej myšlienky: nesprávna manipulácia s pamäťou jadra, vyrovnávacou pamäťou stránok a vyrovnávacími pamäťami môže umožniť neprivilegovanému lokálnemu procesu ovplyvniť dáta, ktoré by mali byť nezapisovateľné. V prípade DirtyDecrypt ide o „zápis rxgk pagecache“ kvôli chýbajúcej ochrane COW v rxgk_decrypt_skb().
Tím V12 tvrdí, že problém objavil a nahlásil. 9 mája 2026 rok, ale správcovia jadra odpovedali, že ide o duplikát už opravenej chyby. Výskumníci potom publikovali dôkaz konceptu s tvrdením, že oprava je už v hlavnom jadre.
Situácia s CVE sa nezdá byť úplne jednoduchá. BleepingComputer uvádza, že v čase publikovania neexistuje samostatné oficiálne CVE pre názov DirtyDecrypt, ale analytik Will Dormann spája podrobnosti zverejnené V12 s... CVE-2026 31635,, opravené koncom apríla. NVD opisuje CVE-2026-31635 ako chybu v rxrpc: funkcia rxgk_verify_response() nesprávne skontrolovala dĺžku autentifikátora RESPONSE, čo mohlo viesť k odovzdaniu príliš dlhého autentifikátora do rxgk_decrypt_skb() a spôsobiť zlyhanie kódu BUG_ON(len).
To znamená, že verejne dostupné publikácie odkazujú na DirtyDecrypt CVE-2026 31635,, ale formálny popis CVE v NVD sa v súčasnosti javí ako užší a odkazuje primárne na chybu kontroly dĺžky v rxrpc, a nie priamo na alias DirtyDecrypt/DirtyCBC ako samostatnú položku. Preto je správnejšie napísať: DirtyDecrypt je pravdepodobne v súlade s chybou CVE-2026-31635 alebo je úzko s ňou spojený., namiesto tvrdenia, že ide o oficiálny názov CVE.
Pre fungovanie je potrebné jadro s touto možnosťou povolenou. CONFIG_RXGK, ktorá zahŕňa podporu RxGK pre klienta AFS a sieťový transport. To výrazne zužuje rozsah postihnutých systémov: týka sa to predovšetkým distribúcií, ktoré rýchlo nasledujú po upstreamovom jadre, vrátane Fedora, Oblúk Linux и openSUSE TumbleweedBleepingComputer zdôrazňuje, že publikovaný V12 PoC bol testovaný iba na Fedore a hlavnom jadre.
DirtyDecrypt sa objavil na pozadí celej série podobných produktov. Linux Zraniteľnosti LPE. Predtým zverejnené. Kopírovanie zlyhalo v algif_aead, Špinavý úlomok v sieťových komponentoch a potom Frangnézia v XFRM ESP-in-TCP Microsoft opísané Dirty Frag ako lokálna eskalácia privilégií prostredníctvom komponentov esp4, esp6 a rxrpc, čo útočníkovi umožňuje získať lokálny prístup a uchytiť sa v systéme.
Praktické nebezpečenstvo takýchto chýb spočíva v tom, že sú často zneužité po počiatočnom narušení: napríklad po kompromitácii SSH účtu, webového shellu, zraniteľného kontajnera alebo používateľa služby s nízkymi privilégiami. Po získaní root prístupu môže útočník deaktivovať bezpečnostné kontroly, čítať tajné údaje, upravovať protokoly, nasadiť perzistenciu a postupovať ďalej v infraštruktúre.
Používateľom potenciálne postihnutých distribúcií s postupným vydávaním sa odporúča nainštalovať si najnovšie aktualizácie jadra. Pre systémy, kde nie sú možné okamžité aktualizácie, publikácie uvádzajú dočasné riešenia, ako je napríklad vypnutie nepoužívaných modulov rxrpc a súvisiacich komponentov. Takéto riešenia však môžu narušiť AFS a niektoré scenáre IPsec/VPN, preto by sa mali použiť až po potvrdení vplyvu na konkrétny systém.
Pre väčšinu inštalácií na stolných počítačoch a serveroch je riziko pravdepodobne nižšie ako pri zlyhaní kopírovania: DirtyDecrypt vyžaduje špecifickú konfiguráciu jadra a lokálne spustenie kódu. Pre Fedoru, Arch však... Linux, openSUSE Tumbleweed a ďalšie systémy s rýchlymi aktualizáciami jadra si tento problém zaslúži pozornosť: už nejde o teoretickú správu, ale o zraniteľnosť s publikovaným dôkazom konceptu a jasnou cestou k eskalácii privilégií.
Zdroj: linux.org.ru
