CVE-2026-31635 · DirtyDecrypt

[]

Linux lokale Privilegieneskalation im RxRPC/GSSAPI-Entschlüsselungspfad. Eine fehlende skb_cow_data()-Prüfung in rxgk_decrypt_skb() erlaubt es einem unprivilegierten lokalen Angreifer, Page-Cache-Seiten zu beschädigen und Speicherinhalte schreibgeschützter Dateien zu überschreiben.

Inhaltsverzeichnis

• Übersicht
• Schnellstart
• Systemprüfung
• Zusammenfassung des Exploits
• Betroffene Systeme
• Verwendung dieses Repositories
• Gegenmaßnahmen
• FAQ
• Repository-Struktur
• Referenzen

Übersicht

Dieses Repository enthält die Forschungsmaterialien und den Proof-of-Concept für CVE-2026-31635, eine lokale Privilegieneskalation im Linux-Kernel net/rxrpc/rxgk.c.

Die Schwachstelle tritt auf, wenn RxRPC Pakete direkt mit AES-CBC entschlüsselt, ohne vorher sicherzustellen, dass die Paketdaten privat sind. Wenn das Paket aus Page-Cache-Seiten besteht, kann der Kernel direkt in den gemeinsam genutzten dateibasierten Speicher entschlüsseln.

Schnellstart

Wählen Sie den Pfad, der Ihrem Ziel entspricht:

1. Schwachstelle prüfen
   • Kernelversion und CONFIG_RXGK überprüfen
   • ./dirtydecrypt --check ausführen
2. Exploit bauen
   • cd exploit
   • make
3. Technische Forschung lesen
   • Mit docs/vulnerability-analysis.md beginnen
   • docs/patch-analysis.md und docs/exploit-development.md durchgehen

⚠️ Dieses Repository ist nur für autorisierte Forschung und Tests bestimmt. Nicht gegen Systeme ohne ausdrückliche Genehmigung verwenden.

Systemprüfung

Führen Sie die folgenden Prüfungen durch, um festzustellen, ob Ihre Umgebung betroffen ist:

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

Wenn der Kernel im Bereich 6.10–6.13 liegt und CONFIG_RXGK aktiviert ist, könnte das System anfällig sein.

Verwenden Sie dann den PoC-Prüfmodus des Exploits:

cd exploit
./dirtydecrypt --check

Wenn die Prüfung erfolgreich ist, ist das System anfällig. Wenn sie sauber fehlschlägt oder fehlende RxRPC-Unterstützung meldet, ist der Kernel nicht ausnutzbar.

Zusammenfassung des Exploits

Der Exploit verwendet ein manipuliertes RxRPC-Paket, um den Kernel zu zwingen, in eine gemeinsame Page-Cache-Seite zu entschlüsseln.

Schritte:

1. Eine lesbare Zielseite aus einer setuid-Binärdatei oder einer anderen sensiblen Datei auswählen.
2. Einen RxRPC-Entschlüsselungskontext mit einem kontrollierten AES-Key erstellen.
3. Ein Dual-Fragment-SKB aufbauen, bei dem das erste Fragment auf die Zielseite und das zweite Fragment auf den Chiffretext verweist.
4. rxgk_decrypt_skb() im Kernel aufrufen.
5. Der Kernel schreibt den Klartext direkt in den Page-Cache-Eintrag der Zielseite anstatt in einen privaten Puffer.
6. Die gepatchte Binärdatei ausführen, um root zu erlangen.

Der Exploit wird in exploit/dirtydecrypt.c demonstriert.

Betroffene Systeme

Bekannte anfällige Bereiche

• Linux-Kernel 6.10 bis 6.13
• CONFIG_RXGK=m oder CONFIG_RXGK=y

Verteilungsrichtlinien

• Fedora 40, 41 — anfällig auf Standard-Kernels bis zum Patch
• Ubuntu 24.10 — anfällig auf dem Standard-Kernel 6.11
• Debian unstable (Sid) — anfällig auf Kernels 6.12+ bis zum Update
• Arch Linux — anfällig bis 6.13.2
• SUSE Linux Enterprise 15 SP7 — anfällig auf älteren 6.10-Builds bis zum Patch

Nicht anfällig

• RHEL 9 — älterer Kernel ohne rxgk
• AWS Linux 2 — ältere Kernel-Serie
• Android — auf typischen Android-Zweigen nicht betroffen
• GCE Container-Optimized OS — CONFIG_RXGK standardmäßig deaktiviert

Verwendung dieses Repositories

Exploit bauen

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

Für eine vollständig statische Binärdatei:

make static

Den Exploit sicher ausführen

./dirtydecrypt --check

Beispielverwendung:

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

Empfohlene Lesereihenfolge

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

Gegenmaßnahmen

Sofort

RxRPC deaktivieren, falls nicht benötigt:

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

Dauerhaft

Auf eine gepatchte Kernel-Version aktualisieren:

• 6.13.2
• 6.12.10
• 6.6.75

Erkennung

Relevante Socket-Erstellungs- und Schlüsseloperationen überwachen:

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

FAQ

F: Kann dieser Exploit Dateien auf der Festplatte ändern?
A: Nein. Die Schwachstelle beschädigt nur den Page-Cache-Inhalt; die zugrundeliegende Datei auf der Festplatte bleibt unverändert, es sei denn, die Seite wird später zurückgeschrieben.

F: Ist diese Schwachstelle auf Kernels neuer als 6.13 vorhanden?
A: Nein, der Patch wurde zurückportiert und der anfällige Codepfad ist in Kernels nach 6.13.2 behoben.

F: Wie kann ich dies sicher testen?
A: Verwenden Sie eine isolierte VM mit einem ungepatchten Standard-Kernel und einem einmaligen Benutzerkonto.

F: Wo finde ich den Exploit-Quellcode?
A: Siehe exploit/dirtydecrypt.c und exploit/README.md.

Repository-Struktur

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

Referenzen

• Linux-Kernel-Patch — Commit a2567217
• NVD — CVE-2026-31635
• docs/references.md

Lizenz

MIT — siehe LICENSE.
Dieses Repository ist nur für Bildungszwecke und autorisierte Sicherheitsforschung bestimmt.