CVE-2026-31635 · DirtyDecrypt

[]

Escalada de privilegios local en Linux en la ruta de descifrado RxRPC/GSSAPI. Una comprobación faltante de skb_cow_data() en rxgk_decrypt_skb() permite que un atacante local sin privilegios corrompa páginas de la caché de páginas y sobrescriba el contenido en memoria de archivos de solo lectura.

Contenido

• Descripción general
• Inicio rápido
• Verificar su sistema
• Resumen del exploit
• Sistemas afectados
• Cómo usar este repositorio
• Mitigación
• Preguntas frecuentes
• Estructura del repositorio
• Referencias

Descripción general

Este repositorio contiene los materiales de investigación y la prueba de concepto para CVE-2026-31635, una escalada de privilegios local en el kernel Linux net/rxrpc/rxgk.c.

La vulnerabilidad ocurre cuando RxRPC descifra paquetes en el lugar utilizando AES-CBC sin asegurar primero que los datos del paquete sean privados. Si el paquete está construido a partir de páginas de la caché de páginas, el kernel puede descifrar directamente en memoria compartida respaldada por archivos.

Inicio rápido

Elija la ruta que coincida con su objetivo:

1. Verificar vulnerabilidad
   • Compruebe la versión del kernel y CONFIG_RXGK
   • Use ./dirtydecrypt --check
2. Compilar el exploit
   • cd exploit
   • make
3. Leer la investigación técnica
   • Empiece con docs/vulnerability-analysis.md
   • Revise docs/patch-analysis.md y docs/exploit-development.md

⚠️ Este repositorio es solo para investigación y pruebas autorizadas. No lo use contra sistemas sin permiso explícito.

Verificar su sistema

Ejecute las siguientes comprobaciones para determinar si su entorno está dentro del alcance:

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

Si el kernel está en el rango 6.10–6.13 y CONFIG_RXGK está habilitado, el sistema puede ser vulnerable.

Luego use el modo de verificación del PoC del exploit:

cd exploit
./dirtydecrypt --check

Si la comprobación tiene éxito, el sistema es vulnerable. Si falla limpiamente o informa que no hay soporte RxRPC, entonces el kernel no es explotable.

Resumen del exploit

El exploit utiliza un paquete RxRPC malformado para forzar al kernel a descifrar en una página de caché de páginas compartida.

Pasos:

1. Seleccione una página de destino legible de un binario setuid u otro archivo sensible.
2. Cree un contexto de descifrado RxRPC con una clave AES controlada.
3. Construya un SKB de doble fragmento donde el primer fragmento se asigna a la página de destino y el segundo fragmento contiene texto cifrado.
4. Llame a rxgk_decrypt_skb() en el kernel.
5. El kernel escribe texto plano en la entrada de caché de páginas de destino en lugar de un búfer privado.
6. Ejecute el binario parcheado para obtener root.

El exploit se demuestra en exploit/dirtydecrypt.c.

Sistemas afectados

Rangos vulnerables conocidos

• Kernel Linux 6.10 hasta 6.13
• CONFIG_RXGK=m o CONFIG_RXGK=y

Guía de distribuciones

• Fedora 40, 41 — vulnerable en kernels estándar hasta el parche
• Ubuntu 24.10 — vulnerable en el kernel 6.11 por defecto
• Debian unstable (Sid) — vulnerable en kernels 6.12+ hasta la actualización
• Arch Linux — vulnerable hasta 6.13.2
• SUSE Linux Enterprise 15 SP7 — vulnerable en builds antiguas de 6.10 hasta el parche

No vulnerables

• RHEL 9 — kernel antiguo sin rxgk
• AWS Linux 2 — serie de kernel antigua
• Android — no afectado en ramas típicas de Android
• GCE Container-Optimized OS — CONFIG_RXGK deshabilitado por defecto

Cómo usar este repositorio

Compilar el exploit

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

Para un binario completamente estático:

make static

Ejecutar el exploit de forma segura

./dirtydecrypt --check

Ejemplo de uso:

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

Orden de lectura recomendado

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

Mitigación

Inmediata

Deshabilite RxRPC si no es necesario:

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

Permanente

Actualice a una versión de kernel parcheada:

• 6.13.2
• 6.12.10
• 6.6.75

Detección

Audite las operaciones relevantes de socket y clave:

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

Preguntas frecuentes

P: ¿Puede este exploit modificar archivos en disco?
R: No. La vulnerabilidad solo corrompe el contenido de la caché de páginas; el archivo subyacente en disco permanece sin cambios a menos que la página se vacíe más tarde.

P: ¿Está presente esta vulnerabilidad en kernels posteriores a 6.13?
R: No, el parche fue retroportado y la ruta de código vulnerable está corregida en kernels posteriores a 6.13.2.

P: ¿Cuál es la forma más segura de probar esto?
R: Use una máquina virtual aislada con un kernel vulnerable estándar y una cuenta de usuario desechable.

P: ¿Dónde puedo encontrar el código fuente del exploit?
R: Consulte exploit/dirtydecrypt.c y exploit/README.md.

Estructura del repositorio

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

Referencias

• Parche del kernel Linux — commit a2567217
• NVD — CVE-2026-31635
• docs/references.md

Licencia

MIT — consulte LICENSE.
Este repositorio está destinado únicamente para fines educativos y de investigación de seguridad autorizada.