PoC för DirtyDecrypt – en ny LPE-sårbarhet i Linux-kärnan har publicerats

Proof-of-concept publicerad för sårbarhet DirtyDecrypt, även känd som DirtyCBC, vilket tillåter en lokal oprivilegerad användare att få root-rättigheter på vissa Linux-system. Problemet ligger i koden rxgk undersystemet RxRPC och relaterar till skrivning till sidcache på grund av bristande kontroll av copy-on-write i funktionen rxgk_decrypt_skb(). BleepingComputer rapporterade om publikation av PoC den 18 maj 2026; själva PoC publicerades i repositoryt av teamet V12.

RxRPC är ett nätverksprotokoll för Linux-kärnan över UDP, som tillhandahåller tillförlitlig transport för fjärroperationer. I kärndokumentationen anges särskilt att AFS — Andrew File System — är ett exempel på en applikation som använder RxRPC, och själva protokollet stöder förhandlingen om säkerheten i anslutningen. RxGK, som används för den säkra läget RxRPC/AFS, hör till detta område.

Enligt V12 är DirtyDecrypt ytterligare en variant av sårbarheter av typen CopyFail / Dirty Frag / Fragnesia. Alla kretsar kring en liknande idé: bristande hantering av kärnans minne, sidcache och buffertar kan tillåta en oprivilegerad lokal process att påverka data som borde vara otillgängliga för skrivning. I fallet med DirtyDecrypt handlar det om "rxgk sidcache skrivning" på grund av avsaknaden av COW-skydd i rxgk_decrypt_skb().

Teamet V12 hävdar att de upptäckte och rapporterade problemet 9 maj 2026, men de som ansvarar för kärnan svarade att det är en duplikat av ett redan åtgärdat fel. Efter det publicerade forskarna PoC och motiverade detta med att åtgärden redan finns i mainline-kärnan.

Med CVE-situationen ser det inte helt rakt ut. BleepingComputer skriver att det för närvarande inte finns ett separat officiellt CVE för namnet DirtyDecrypt, men analytikern Will Dormann kopplar ihop de publicerade detaljerna från V12 med CVE-2026-31635, åtgärdad i slutet av april. I NVD-databasen beskrivs CVE-2026-31635 som ett fel i rxrpc: funktionen rxgk_verify_response() kontrollerade inte längden på RESPONSE-autentiseraren korrekt, vilket innebar att en för stor autentiserare kunde hamna i rxgk_decrypt_skb() och leda koden till BUG_ON(len).

Det vill säga offentliga publikationer kopplar samman DirtyDecrypt med CVE-2026-31635, men den formella beskrivningen av CVE i NVD verkar vara snävare och säger framför allt om felet i längdkontrollen i rxrpc, och inte direkt om alias DirtyDecrypt/DirtyCBC som en separat post. Därför är det mer korrekt att skriva: DirtyDecrypt kopplar troligen till eller är nära relaterat till CVE-2026-31635, snarare än att påstå att detta är det officiella namnet på CVE.

För drift krävs en kärna med aktiverad funktion CONFIG_RXGK, som aktiverar RxGK-stöd för AFS-klienten och nätverkstransport. Detta begränsar tydligt antalet berörda system: det handlar i första hand om distributioner som snabbt följer upstream-kärnan, inklusive Fedora, Arch Linux och openSUSE Tumbleweed. Samtidigt understryker BleepingComputer att den publicerade V12 PoC endast har testats på Fedora och mainline-kärnan.

DirtyDecrypt uppkom i bakgrunden av en hel serie nära besläktade Linux LPE-sårbarheter. Tidigare har avslöjats Copy Fail i algif_aead, Dirty Frag i nätverkskomponenter, och sedan Fragnesia i XFRM ESP-in-TCP. Microsoft beskrev Dirty Frag som en lokal prisstegring genom komponenter esp4, esp6 och rxrpc, vilket gör att en angripare efter att ha fått lokal åtkomst kan höja sig till root och etablera sig i systemet.

Den praktiska faran med sådana fel ligger i att de ofta används efter den första attacken: till exempel efter kompromiss av SSH-konto, web shell, sårbar container eller lågprivilegierad tjänstanvändare. När angriparen har root kan de stänga av skydd, läsa hemligheter, ändra loggar, implementera persistens och fortsätta vidare genom infrastrukturen.

Användare av potentiellt påverkade rolling-release-distributioner rekommenderas att installera de senaste kärnuppdateringarna. För system där omedelbar uppdatering inte är möjlig nämner publikationer tillfälliga åtgärder såsom att stänga av oanvända rxrpc-moduler och relaterade komponenter, men sådana workaround-lösningar kan bryta AFS och vissa IPsec/VPN-scenarier, så de bör endast tillämpas efter att ha kontrollerat påverkan på det specifika systemet.

För de flesta desktop- och servinstallationen är risken troligen lägre än för Copy Fail: DirtyDecrypt kräver en specifik kärnkonfiguration och lokal kodexekvering. Ändå för Fedora, Arch Linux, openSUSE Tumbleweed och andra system med snabb kärnuppdatering förtjänar problemet uppmärksamhet: det är inte längre en teoretisk rapport, utan en sårbarhet med publicerad PoC och en tydlig väg till privilegiet höjning.

Källa: linux.org.ru