Objavljen je proof-of-concept za ranjivost DirtyDecrypt, poznat kao DirtyCBC, koja omogućava lokalnom nepovoljnom korisniku da dobije root prava na nekim Linux sistemima. Problem se nalazi u kodu rxgk pod-sistema RxRPC i povezan je s upisom u page cache usled nedostatka provere copy-on-write u funkciji rxgk_decrypt_skb(). O objavljivanju PoC 18. maja 2026. godine izvestio je portal BleepingComputer; sam PoC je postavljen u repozitorijumu tima V12.
RxRPC je mrežni protokol Linux jezgra iznad UDP-a, koji pruža pouzdan transport za daljinske operacije. U dokumentaciji jezgra posebno je navedeno da AFS — Andrew File System — je primer aplikacije koja koristi RxRPC, a sam protokol podržava pregovore o bezbednosti veze. Točno u ovu oblast spada RxGK, koji se koristi za zaštićeni režim RxRPC/AFS.
Prema opisima tima V12, DirtyDecrypt je još jedna varijanta ranjivosti klase CopyFail / Dirty Frag / Fragnesia. Sve se vrte oko slične ideje: nepravilno rukovanje memorijom jezgra, page cache-om i baferima može omogućiti nepovoljnom lokalnom procesu da utiče na podatke koji bi trebali biti nedostupni za upis. U slučaju DirtyDecrypt radi se o "rxgk pagecache write" usled nedostatka COW zaštite u rxgk_decrypt_skb().
Tim V12 tvrdi da je otkrio i prijavio problem 9. maja 2026. godine, ali prateći jezgra su odgovorili da je to duplikat već ispravljenog bug-a. Nakon toga su istraživači objavili PoC, motivišući to činjenicom da je ispravka već u mainline jezgru.
Situacija sa CVE-om nije sasvim jednostavna. BleepingComputer piše da, u trenutku objave, ne postoji zaseban zvanični CVE za ime DirtyDecrypt, ali analitičar Will Dormann povezuje objavljene detalje tima V12 s CVE-2026-31635, ispravljenim krajem aprila. U bazi NVD, CVE-2026-31635 opisuje se kao greška u rxrpc: funkcija rxgk_verify_response() je nepravilno proveravala dužinu RESPONSE-authenticatora, zbog čega je prevelik authenticator mogao da dođe u rxgk_decrypt_skb() i izazove BUG_ON(len).
Dakle, javno objavljivanje povezuje DirtyDecrypt s CVE-2026-31635, ali formalni opis CVE u NVD za sada izgleda uži i govori prvenstveno o grešci u proveri dužine u rxrpc, a ne direktno o aliasu DirtyDecrypt / DirtyCBC kao o zasebnoj stavci. Stoga je ispravnije reći: DirtyDecrypt se verovatno podudara ili je blisko povezan s CVE-2026-31635, ne pa trditi, da je to uradno ime CVE.
Za izkoriščanje je jedro z vklopljeno možnostjo CONFIG_RXGK, ki omogoča podporo za RxGK za AFS-odjemalca in omrežni prenos. To znatno omejuje krog prizadetih sistemov: predvsem gre za distribucije, ki hitro sledijo upstream-jedru, vključno z Fedora, Arch Linux in openSUSE Tumbleweed. Pri tem BleepingComputer poudarja, da je objavljen V12 PoC testiran le na Fedori in mainline jedru.
DirtyDecrypt se je pojavil v ozadju celotne serije podobnih Linux LPE ranljivosti. Prej so bile razkrite Copy Fail v algif_aead, Dirty Frag v omrežnih komponentah, nato Fragnesia v XFRM ESP-in-TCP. Microsoft je opisal Dirty Frag kot lokalno dvigovanje privilegijev preko komponent esp4, esp6 in rxrpc, kar omogoča napadalcu, da po pridobitvi lokalnega dostopa doseže root in se utrdi v sistemu.
Praktična nevarnost takšnih napak je, da se pogosto uporabljajo že po prvotnem vdoru: na primer, po kompromitaciji SSH računa, web shella, ranljivega kontejnerja ali nizkopravnega servisnega uporabnika. Z dostopom do root lahko napadalec izklopi zaščitna sredstva, bere skrivnosti, spreminja dnevnike, postavi vzpostavitev trdnosti (persistence) in napreduje naprej po infrastrukturi.
Uporabnikom potencialno prizadetih rolling-release distribucij se priporoča, da namestijo zadnje posodobitve jedra. Za sisteme, kjer takojšnja posodobitev ni mogoča, se v objavah omenjajo začasne rešitve, kot so onemogočanje neuporabljenih rxrpc modulov in povezanih komponent, vendar takšna obhodna rešitev lahko poškoduje AFS in del delovnih scenarijev IPsec/VPN, zato jih je treba uporabiti le po preverjanju vpliva na specifičen sistem.
Za večino namiznih in strežnih namestitev je tveganje verjetno nižje kot pri Copy Fail: DirtyDecrypt zahteva specifično konfiguracijo jedra in lokalno izvajanje kode. Kljub temu pa za Fedoro, Arch Linux, openSUSE Tumbleweed in druge sisteme z hitrimi posodobitvami jedra težava zasluži pozornost: to že ni teoretično poročilo, temveč ranljivost z objavljenim PoC in jasnim načinom za dvig privilegijev.
Izvor: linux.org.ru
