🩸 CVE-2026-31635 – DirtyDecrypt

Lokale Privilegieneskalation im Linux-Kernel durch RXGK Page-Cache-Korruption

"DirtyDecrypt" — Teil der 2026er "Dirty"-Exploit-Familie

📖 Übersicht

DirtyDecrypt (CVE-2026-31635) ist eine lokale Privilegieneskalations-Schwachstelle im rxrpc-Subsystem des Linux-Kernels (genauer gesagt der rxgk-Komponente).

Sie nutzt eine fehlende Copy-on-Write (COW)-Prüfung während der AES-CBC-Entschlüsselung aus, wodurch ein unprivilegierter Benutzer den Page-Cache korrumpieren und beliebige Dateien schreiben kann, was zu root-Zugriff führt.

✨ Funktionen

• ✅ Sauberer und gut kommentierter C-Code
• ✅ Unterstützung für User- und Network-Namespaces
• ✅ Zuverlässige Page-Cache-Schreibprimitive
• ✅ Ziel: /etc/passwd (leeres Root-Passwort)
• ✅ Einfach anpassbar für SUID-Binaries oder andere Ziele
• ✅ Unterstützung für statische Kompilierung

🛠️ Betroffene Systeme

• Angreifbare Kernel: 6.10 ~ 6.13 (mit CONFIG_RXGK=y)
• Häufige Distributionen: Fedora, Arch Linux, openSUSE Tumbleweed, eigene Kernel
• Nicht angreifbar: Kernel vor ~6.10 oder solche mit CONFIG_RXGK=n

📋 Voraussetzungen

• Linux-Kernel mit aktiviertem CONFIG_RXGK
• Unprivilegierter lokaler Benutzerzugriff
• AF_RXRPC-Socket-Unterstützung
• keyctl-Dienstprogramm (für rxrpc-Schlüssel)

🚀 Kompilierung

git clone https://github.com/0xBlackash/DirtyDecrypt.git
cd DirtyDecrypt
gcc -O2 -static -pthread CVE-2026-31635.c -o DirtyDecrypt

💥 Verwendung

sudo ./DirtyDecrypt

Erwartete erfolgreiche Ausgabe:

=== rxgk pagecache write (DirtyDecrypt) ===
uid=1000 euid=1000

[*] writing shellcode to /usr/bin/su (96 bytes from offset 0)
    [========================================] 100% (XXX/96, YYYY fires)
[*] XXX fires in Z.Zs
[*] exec /usr/bin/su
[*] restore: cp /tmp/.su_12345 /usr/bin/su

# whoami
root

# id
uid=0(root) gid=0(root) groups=0(root)

# 

📁 Repository-Struktur

DirtyDecrypt/
├── CVE-2026-31635.c          # Hauptexploit
├── README.md                 # Diese Datei
├── Makefile                  # Optional
└── exploit.log               # Optionales Ausgabeprotokoll

🔬 Funktionsweise (Technisch)

1. Betritt User- und Network-Namespace
2. Fügt RXGK-Schlüssel zum Keyring hinzu
3. Verwendet AF_RXRPC-Sockets + splice(), um Page-Cache-Seiten in den RXGK-Entschlüsselungspfad zu zwingen
4. Löst eine AES-CBC-Entschlüsselung an Ort und Stelle ohne skb_cow_data() aus
5. Korrumpiert die Zieldatei (/etc/passwd) Byte für Byte mit der Gleitfenstertechnik
6. Löscht das Root-Passwort → erzeugt eine Root-Shell

⚠️ Haftungsausschluss

Dieser Exploit dient ausschließlich zu Bildungs- und autorisierten Sicherheitstests.
Die unbefugte Nutzung auf Systemen, die Ihnen nicht gehören, ist illegal.

📜 Danksagungen & Autor

• Exploit-Autor: Ashraf Zaryouh "0xBlackash"
• Ursprüngliche Entdeckung: Sicherheitsforscher (2026)
• PoC-Version: v2.1 (Mai 2026)