🩸 CVE-2026-31635 – DirtyDecrypt

تصعيد الامتيازات محليًا في نواة لينكس عبر إفساد ذاكرة التخزين المؤقت للصفحات في RXGK

"DirtyDecrypt" — جزء من سلسلة استغلالات "Dirty" لعام 2026

📖 نظرة عامة

DirtyDecrypt (CVE-2026-31635) هو ثغرة تصعيد امتيازات محلي في نظام rxrpc الفرعي للنواة (تحديدًا مكون rxgk).

يستغل عدم وجود فحص للنسخ عند الكتابة (COW) أثناء فك تشفير AES-CBC، مما يسمح لمستخدم غير متميز بإفساد ذاكرة التخزين المؤقت للصفحات وتحقيق كتابة عشوائية للملفات، مما يؤدي إلى الوصول للجذر.

✨ الميزات

• ✅ كود C نظيف ومعلق جيدًا
• ✅ دعم مساحات أسماء المستخدم والشبكة
• ✅ بدائية كتابة موثوقة لذاكرة التخزين المؤقت للصفحات
• ✅ يستهدف /etc/passwd (كلمة مرور الجذر فارغة)
• ✅ سهل التعديل لاستهداف ملفات SUID الثنائية أو أهداف أخرى
• ✅ دعم التجميع الثابت

🛠️ الأنظمة المتأثرة

• النوى الضعيفة: 6.10 ~ 6.13 (مع تفعيل CONFIG_RXGK=y)
• التوزيعات الشائعة: فيدورا، آرتش لينكس، openSUSE Tumbleweed، النوى المخصصة
• غير متأثرة: النوى قبل ~6.10 أو تلك التي تحتوي على CONFIG_RXGK=n

📋 المتطلبات

• نواة لينكس مع تفعيل CONFIG_RXGK
• وصول مستخدم محلي غير متميز
• دعم مآخذ AF_RXRPC
• أداة keyctl (لمفاتيح rxrpc)

🚀 التجميع

git clone https://github.com/0xBlackash/DirtyDecrypt.git
cd DirtyDecrypt
gcc -O2 -static -pthread CVE-2026-31635.c -o DirtyDecrypt

💥 الاستخدام

sudo ./DirtyDecrypt

الخرج الناجح المتوقع:

=== rxgk pagecache write (DirtyDecrypt) ===
uid=1000 euid=1000

[*] writing shellcode to /usr/bin/su (96 bytes from offset 0)
    [========================================] 100% (XXX/96, YYYY fires)
[*] XXX fires in Z.Zs
[*] exec /usr/bin/su
[*] restore: cp /tmp/.su_12345 /usr/bin/su

# whoami
root

# id
uid=0(root) gid=0(root) groups=0(root)

# 

📁 هيكل المستودع

DirtyDecrypt/
├── CVE-2026-31635.c          # الاستغلال الرئيسي
├── README.md                 # هذا الملف
├── Makefile                  # اختياري
└── exploit.log               # سجل الخرج الاختياري

🔬 كيف يعمل (تقنيًا)

1. يدخل مساحة اسم المستخدم والشبكة
2. يضيف مفتاح RXGK إلى سلسلة المفاتيح
3. يستخدم مآخذ AF_RXRPC + splice() لإجبار صفحات ذاكرة التخزين المؤقت على مسار فك تشفير RXGK
4. يطلق فك تشفير AES-CBC في المكان دون استدعاء skb_cow_data()
5. يفسد الملف المستهدف (/etc/passwd) بايتًا تلو الآخر باستخدام تقنية النافذة المنزلقة
6. يفرغ كلمة مرور الجذر → يطلق شل الجذر

⚠️ إخلاء مسؤولية

هذا الاستغلال مخصص للاختبارات الأمنية التعليمية والمصرح بها فقط.
الاستخدام غير المصرح به على أنظمة لا تملكها غير قانوني.

📜 الائتمان والمؤلف

• مؤلف الاستغلال: Ashraf Zaryouh "0xBlackash"
• الاكتشاف الأصلي: باحثو الأمن (2026)
• إصدار الإثبات: v2.1 (مايو 2026)