CVE-2026-31635

Riepilogo

Nel kernel Linux è stata risolta la seguente vulnerabilità: rxrpc: corretto il controllo della lunghezza dell'autenticatore RESPONSE eccessivamente grande. rxgk_verify_response() decodifica auth_len dal pacchetto e dovrebbe verificare che rientri nei byte rimanenti. Il controllo esistente è invertito, quindi autenticatori RESPONSE sovradimensionati vengono accettati e passati a rxgk_decrypt_skb(), che può successivamente raggiungere skb_to_sgvec() con una lunghezza impossibile e colpire BUG_ON(len). Decodificato dai log originali della riproduzione latest-net con scripts/decode_stacktrace.sh: RIP: __skb_to_sgvec() [net/core/skbuff.c:5285 (discriminator 1)] Call Trace: skb_to_sgvec() [net/core/skbuff.c:5305] rxgk_decrypt_skb() [net/rxrpc/rxgk_common.h:81] rxgk_verify_response() [net/rxrpc/rxgk.c:1268] rxrpc_process_connection() [net/rxrpc/conn_event.c:266 net/rxrpc/conn_event.c:364 net/rxrpc/conn_event.c:386] process_one_work() [kernel/workqueue.c:3281] worker_thread() [kernel/workqueue.c:3353 kernel/workqueue.c:3440] kthread() [kernel/kthread.c:436] ret_from_fork() [arch/x86/kernel/process.c:164] Rifiutare le lunghezze dell'autenticatore che superano il payload rimanente del pacchetto.

• CVE-2026-31635Exploit

  CVE-2026-31635

• CVE-2026-31635-DirtyDecryptExploit

  # Exploit di escalation dei privilegi locali per il kernel Linux per CVE-2026-31635 che corrompe la cache delle pagine tramite decrittazione in-place di RxRPC, sovrascrive file di sola lettura ed esegue shellcode, con modalità di verifica.