CVE-2026-31635 · DirtyDecrypt

[]

تصعيد صلاحيات محلي في لينكس عبر مسار فك تشفير RxRPC/GSSAPI. يؤدي التحقق المفقود لـ skb_cow_data() في rxgk_decrypt_skb() إلى السماح لمهاجم محلي غير ممتاز بإفساد صفحات ذاكرة التخزين المؤقت للصفحات (page cache) واستبدال محتويات الذاكرة للملفات المقروءة فقط.

المحتويات

• نظرة عامة
• بداية سريعة
• التحقق من نظامك
• ملخص الاستغلال
• الأنظمة المتأثرة
• كيفية استخدام هذا المستودع
• التخفيف
• الأسئلة الشائعة
• هيكل المستودع
• المراجع

نظرة عامة

يحتوي هذا المستودع على مواد البحث وإثبات المفهوم لـ CVE-2026-31635، وهو تصعيد صلاحيات محلي في نواة لينكس في net/rxrpc/rxgk.c.

تحدث الثغرة عندما يقوم RxRPC بفك تشفير الحزم في نفس المكان باستخدام AES-CBC دون التأكد أولاً من أن بيانات الحزمة خاصة. إذا بُنيت الحزمة من صفحات ذاكرة التخزين المؤقت للصفحات، فقد تقوم النواة بفك التشفير مباشرةً في ذاكرة مشتركة مدعومة بملفات.

بداية سريعة

اختر المسار الذي يتوافق مع هدفك:

1. التحقق من الثغرة
   • تحقق من إصدار النواة و CONFIG_RXGK
   • استخدم ./dirtydecrypt --check
2. بناء الاستغلال
   • cd exploit
   • make
3. قراءة البحث التقني
   • ابدأ بـ docs/vulnerability-analysis.md
   • راجع docs/patch-analysis.md و docs/exploit-development.md

⚠️ هذا المستودع مخصص للأبحاث المصرح بها والاختبارات فقط. لا تستخدمه ضد أنظمة دون إذن صريح.

التحقق من نظامك

قم بتشغيل الفحوصات التالية لتحديد ما إذا كانت بيئتك ضمن النطاق:

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

إذا كانت النواة ضمن نطاق 6.10–6.13 وكان CONFIG_RXGK مفعّلاً، فقد يكون النظام عرضة للثغرة.

ثم استخدم وضع التحقق من إثبات المفهوم:

cd exploit
./dirtydecrypt --check

إذا نجح الفحص، يكون النظام عرضة للثغرة. إذا فشل نظيفًا أو أبلغ عن عدم وجود دعم RxRPC، فإن النواة غير قابلة للاستغلال.

ملخص الاستغلال

يستخدم الاستغلال حزمة RxRPC مشوهة لإجبار النواة على فك التشفير في صفحة مشتركة من ذاكرة التخزين المؤقت للصفحات.

الخطوات:

1. اختر صفحة هدف قابلة للقراءة من ملف setuid أو ملف حساس آخر.
2. أنشئ سياق فك تشفير RxRPC بمفتاح AES محكوم.
3. قم ببناء SKB ثنائي الأجزاء حيث يُسقط الجزء الأول على الصفحة الهدف ويحتوي الجزء الثاني على النص المشفر.
4. استدعِ rxgk_decrypt_skb() في النواة.
5. تكتب النواة النص الصريح في إدخال ذاكرة التخزين المؤقت للصفحة الهدف بدلاً من مخزن مؤقت خاص.
6. نفذ الملف المعدل (binary) للحصول على صلاحيات الجذر.

تم توضيح الاستغلال في exploit/dirtydecrypt.c.

الأنظمة المتأثرة

النطاقات المعروفة القابلة للاستغلال

• نواة لينكس 6.10 حتى 6.13
• CONFIG_RXGK=m أو CONFIG_RXGK=y

إرشادات التوزيعات

• Fedora 40, 41 — عرضة للثغرة على النوى الافتراضية حتى التحديث
• Ubuntu 24.10 — عرضة للثغرة على نواة 6.11 الافتراضية
• Debian غير المستقر (Sid) — عرضة للثغرة على نوى 6.12+ حتى التحديث
• Arch Linux — عرضة للثغرة حتى 6.13.2
• SUSE Linux Enterprise 15 SP7 — عرضة للثغرة على إصدارات 6.10 القديمة حتى التصحيح

غير متأثرة

• RHEL 9 — نواة أقدم بدون rxgk
• AWS Linux 2 — سلسلة نوى أقدم
• Android — غير متأثر في فروع Android النموذجية
• GCE Container-Optimized OS — CONFIG_RXGK معطل افتراضيًا

كيفية استخدام هذا المستودع

بناء الاستغلال

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

للحصول على ملف ثنائي ثابت بالكامل:

make static

تشغيل الاستغلال بأمان

./dirtydecrypt --check

مثال للاستخدام:

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

ترتيب القراءة الموصى به

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

التخفيف

فوري

قم بتعطيل RxRPC إذا لم يكن مطلوبًا:

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

دائم

قم بالترقية إلى إصدار نواة مصحح:

• 6.13.2
• 6.12.10
• 6.6.75

الكشف

تدقيق عمليات المقبس (socket) والمفاتيح ذات الصلة:

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

الأسئلة الشائعة

س: هل يمكن لهذا الاستغلال تعديل الملفات على القرص؟
ج: لا. الثغرة تفسد محتويات ذاكرة التخزين المؤقت للصفحات فقط؛ الملف الداعم على القرص يبقى دون تغيير ما لم يتم تفريغ الصفحة لاحقًا.

س: هل هذه الثغرة موجودة في نوى أحدث من 6.13؟
ج: لا، تم إرجاع التصحيح ومسار الشيفرة الضعيف تم إصلاحه في النوى بعد 6.13.2.

س: ما هي الطريقة الأكثر أمانًا لاختبار هذا؟
ج: استخدم جهازًا افتراضيًا معزولاً بنواة افتراضية قابلة للاستغلال وحساب مستخدم قابل للتصرف.

س: أين يمكنني العثور على مصدر الاستغلال؟
ج: انظر exploit/dirtydecrypt.c و exploit/README.md.

هيكل المستودع

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

المراجع

• تصحيح نواة لينكس — commit a2567217
• NVD — CVE-2026-31635
• docs/references.md

الترخيص

MIT — انظر LICENSE.
هذا المستودع مخصص للاستخدام التعليمي ولأبحاث الأمن المصرح بها فقط.