🩸 CVE-2026-31635 – DirtyDecrypt

Élévation de privilèges locale dans le noyau Linux via corruption du cache de pages RXGK

"DirtyDecrypt" — Fait partie des exploits de la famille "Dirty" 2026

📖 Présentation

DirtyDecrypt (CVE-2026-31635) est une vulnérabilité d'élévation de privilèges locale dans le sous-système rxrpc du noyau Linux (plus précisément le composant rxgk).

Elle abuse d'un contrôle manquant de copie sur écriture (Copy-on-Write – COW) lors du déchiffrement AES-CBC, permettant à un utilisateur non privilégié de corrompre le cache de pages et d'obtenir des écritures arbitraires dans les fichiers, menant à un accès root.

✨ Fonctionnalités

• ✅ Code C propre et bien commenté
• ✅ Prise en charge des espaces de noms Utilisateur + Réseau
• ✅ Primitif d'écriture fiable dans le cache de pages
• ✅ Cible /etc/passwd (mot de passe root vide)
• ✅ Facile à modifier pour les binaires SUID ou d'autres cibles
• ✅ Prise en charge de la compilation statique

🛠️ Systèmes affectés

• Noyaux vulnérables : 6.10 ~ 6.13 (avec CONFIG_RXGK=y)
• Distributions courantes : Fedora, Arch Linux, openSUSE Tumbleweed, noyaux personnalisés
• Non vulnérables : Noyaux antérieurs à ~6.10 ou ceux avec CONFIG_RXGK=n

📋 Prérequis

• Noyau Linux avec CONFIG_RXGK activé
• Accès utilisateur local non privilégié
• Prise en charge des sockets AF_RXRPC
• Utilitaire keyctl (pour les clés rxrpc)

🚀 Compilation

git clone https://github.com/0xBlackash/DirtyDecrypt.git
cd DirtyDecrypt
gcc -O2 -static -pthread CVE-2026-31635.c -o DirtyDecrypt

💥 Utilisation

sudo ./DirtyDecrypt

Sortie attendue en cas de succès :

=== rxgk pagecache write (DirtyDecrypt) ===
uid=1000 euid=1000

[*] écriture du shellcode dans /usr/bin/su (96 octets à partir du décalage 0)
    [========================================] 100% (XXX/96, YYYY fires)
[*] XXX fires in Z.Zs
[*] exec /usr/bin/su
[*] restauration : cp /tmp/.su_12345 /usr/bin/su

# whoami
root

# id
uid=0(root) gid=0(root) groups=0(root)

# 

📁 Structure du dépôt

DirtyDecrypt/
├── CVE-2026-31635.c          # Exploit principal
├── README.md                 # Ce fichier
├── Makefile                  # Facultatif
└── exploit.log               # Journal de sortie facultatif

🔬 Fonctionnement technique

1. Entre dans les espaces de noms Utilisateur + Réseau
2. Ajoute la clé RXGK au trousseau de clés
3. Utilise les sockets AF_RXRPC + splice() pour forcer les pages du cache de pages dans le chemin de déchiffrement RXGK
4. Déclenche le déchiffrement AES-CBC en place sans skb_cow_data()
5. Corrompt le fichier cible (/etc/passwd) octet par octet en utilisant une technique de fenêtre glissante
6. Vide le mot de passe root → obtient un shell root

⚠️ Avertissement

Cet exploit est destiné uniquement à des fins éducatives et de tests de sécurité autorisés.
Toute utilisation non autorisée sur des systèmes que vous ne possédez pas est illégale.

📜 Crédits et auteur

• Auteur de l'exploit : Ashraf Zaryouh "0xBlackash"
• Découverte originale : Chercheurs en sécurité (2026)
• Version du PoC : v2.1 (mai 2026)