CVE-2026-31635

Resumen

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: rxrpc: corrige la comprobación de longitud del autenticador RESPONSE sobredimensionado. rxgk_verify_response() decodifica auth_len desde el paquete y se supone que debe verificar que cabe en los bytes restantes. La comprobación existente está invertida, por lo que los autenticadores RESPONSE sobredimensionados se aceptan y se pasan a rxgk_decrypt_skb(), que más tarde puede llegar a skb_to_sgvec() con una longitud imposible y desencadenar BUG_ON(len). Decodificado de los registros de reproducción originales de latest-net con scripts/decode_stacktrace.sh: RIP: __skb_to_sgvec() [net/core/skbuff.c:5285 (discriminator 1)] Call Trace: skb_to_sgvec() [net/core/skbuff.c:5305] rxgk_decrypt_skb() [net/rxrpc/rxgk_common.h:81] rxgk_verify_response() [net/rxrpc/rxgk.c:1268] rxrpc_process_connection() [net/rxrpc/conn_event.c:266 net/rxrpc/conn_event.c:364 net/rxrpc/conn_event.c:386] process_one_work() [kernel/workqueue.c:3281] worker_thread() [kernel/workqueue.c:3353 kernel/workqueue.c:3440] kthread() [kernel/kthread.c:436] ret_from_fork() [arch/x86/kernel/process.c:164] Rechace las longitudes de autenticador que superen la carga útil restante del paquete.

• CVE-2026-31635Exploit

  CVE-2026-31635

• CVE-2026-31635-DirtyDecryptExploit

  Exploit de escalada de privilegios local en el kernel de Linux para CVE-2026-31635 que corrompe la caché de páginas mediante el descifrado in situ de RxRPC, sobrescribe archivos de solo lectura y ejecuta shellcode, con un modo de verificación.