CVE-2026-31635 · DirtyDecrypt

[]

Élévation de privilèges locale sous Linux dans le chemin de déchiffrement RxRPC/GSSAPI. Un contrôle manquant de skb_cow_data() dans rxgk_decrypt_skb() permet à un attaquant local non privilégié de corrompre les pages du cache de pages et d'écraser le contenu en mémoire de fichiers en lecture seule.

Table des matières

• Vue d'ensemble
• Démarrage rapide
• Vérifier votre système
• Résumé de l'exploit
• Systèmes affectés
• Comment utiliser ce dépôt
• Mitigation
• FAQ
• Structure du dépôt
• Références

Vue d'ensemble

Ce dépôt contient les matériaux de recherche et la preuve de concept pour CVE-2026-31635, une élévation de privilèges locale dans net/rxrpc/rxgk.c du noyau Linux.

La vulnérabilité survient lorsque RxRPC déchiffre des paquets en place en utilisant AES-CBC sans d'abord s'assurer que les données du paquet sont privées. Si le paquet est construit à partir de pages du cache de pages, le noyau peut déchiffrer directement dans la mémoire partagée adossée à un fichier.

Démarrage rapide

Choisissez le chemin qui correspond à votre objectif :

1. Vérifier la vulnérabilité
   • Vérifiez la version du noyau et CONFIG_RXGK
   • Utilisez ./dirtydecrypt --check
2. Construire l'exploit
   • cd exploit
   • make
3. Lire la recherche technique
   • Commencez par docs/vulnerability-analysis.md
   • Consultez docs/patch-analysis.md et docs/exploit-development.md

⚠️ Ce dépôt est destiné uniquement à la recherche autorisée et aux tests. Ne l'utilisez pas contre des systèmes sans autorisation explicite.

Vérifier votre système

Exécutez les vérifications suivantes pour déterminer si votre environnement est concerné :

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

Si le noyau est dans la plage 6.10–6.13 et que CONFIG_RXGK est activé, le système peut être vulnérable.

Utilisez ensuite le mode de vérification de la preuve de concept de l'exploit :

cd exploit
./dirtydecrypt --check

Si la vérification réussit, le système est vulnérable. Si elle échoue proprement ou signale l'absence de support RxRPC, le noyau n'est pas exploitable.

Résumé de l'exploit

L'exploit utilise un paquet RxRPC malformé pour forcer le noyau à déchiffrer dans une page partagée du cache de pages.

Étapes :

1. Sélectionnez une page cible lisible à partir d'un binaire setuid ou d'un autre fichier sensible.
2. Créez un contexte de déchiffrement RxRPC avec une clé AES contrôlée.
3. Construisez un SKB à deux fragments où le premier fragment correspond à la page cible et le second contient le texte chiffré.
4. Appelez rxgk_decrypt_skb() dans le noyau.
5. Le noyau écrit le texte clair dans l'entrée du cache de pages de la page cible au lieu d'un tampon privé.
6. Exécutez le binaire modifié pour obtenir les privilèges root.

L'exploit est démontré dans exploit/dirtydecrypt.c.

Systèmes affectés

Plages vulnérables connues

• Noyau Linux 6.10 à 6.13
• CONFIG_RXGK=m ou CONFIG_RXGK=y

Recommandations par distribution

• Fedora 40, 41 — vulnérable sur les noyaux standards jusqu'à correction
• Ubuntu 24.10 — vulnérable sur le noyau 6.11 par défaut
• Debian unstable (Sid) — vulnérable sur les noyaux 6.12+ jusqu'à mise à jour
• Arch Linux — vulnérable jusqu'à 6.13.2
• SUSE Linux Enterprise 15 SP7 — vulnérable sur les anciennes versions 6.10 jusqu'à correction

Non vulnérables

• RHEL 9 — noyau plus ancien sans rxgk
• AWS Linux 2 — séries de noyaux plus anciennes
• Android — non affecté sur les branches Android typiques
• GCE Container-Optimized OS — CONFIG_RXGK désactivé par défaut

Comment utiliser ce dépôt

Construire l'exploit

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

Pour un binaire entièrement statique :

make static

Exécuter l'exploit en toute sécurité

./dirtydecrypt --check

Exemple d'utilisation :

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

Ordre de lecture recommandé

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

Mitigation

Immédiate

Désactivez RxRPC s'il n'est pas nécessaire :

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

Permanente

Mettez à niveau vers une version corrigée du noyau :

• 6.13.2
• 6.12.10
• 6.6.75

Détection

Auditez les opérations de création de socket et de clé pertinentes :

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

FAQ

Q : Cet exploit peut-il modifier des fichiers sur le disque ?
R : Non. La vulnérabilité corrompt uniquement le contenu du cache de pages ; le fichier sous-jacent sur le disque reste inchangé, sauf si la page est vidée ultérieurement.

Q : Cette vulnérabilité est-elle présente sur les noyaux plus récents que 6.13 ?
R : Non, le correctif a été rétroporté et le chemin de code vulnérable est corrigé dans les noyaux après 6.13.2.

Q : Quelle est la manière la plus sûre de tester cela ?
R : Utilisez une VM isolée avec un noyau vulnérable standard et un compte utilisateur jetable.

Q : Où puis-je trouver le code source de l'exploit ?
R : Consultez exploit/dirtydecrypt.c et exploit/README.md.

Structure du dépôt

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

Références

• Correctif du noyau Linux — commit a2567217
• NVD — CVE-2026-31635
• docs/references.md

Licence

MIT — voir LICENSE.
Ce dépôt est destiné uniquement à un usage éducatif et à des recherches de sécurité autorisées.