CVE-2026-31635 · DirtyDecrypt

[]

Escalation dei privilegi locali in Linux nel percorso di decifratura RxRPC/GSSAPI. La mancanza di un controllo skb_cow_data() in rxgk_decrypt_skb() consente a un attaccante locale non privilegiato di corrompere le pagine della cache delle pagine e sovrascrivere i contenuti in memoria di file di sola lettura.

Sommario

• Panoramica
• Avvio rapido
• Verifica il tuo sistema
• Riepilogo dell'exploit
• Sistemi interessati
• Come usare questo repository
• Mitigazione
• FAQ
• Struttura del repository
• Riferimenti

Panoramica

Questo repository contiene i materiali di ricerca e la proof-of-concept per CVE-2026-31635, un'escalation dei privilegi locali nel kernel Linux net/rxrpc/rxgk.c.

La vulnerabilità si verifica quando RxRPC decifra i pacchetti in-place usando AES-CBC senza prima assicurarsi che i dati del pacchetto siano privati. Se il pacchetto è costruito dalle pagine della cache delle pagine, il kernel può decifrare direttamente nella memoria condivisa basata su file.

Avvio rapido

Scegli il percorso che corrisponde al tuo obiettivo:

1. Verifica la vulnerabilità
   • Controlla la versione del kernel e CONFIG_RXGK
   • Usa ./dirtydecrypt --check
2. Compila l'exploit
   • cd exploit
   • make
3. Leggi la ricerca tecnica
   • Inizia con docs/vulnerability-analysis.md
   • Rivedi docs/patch-analysis.md e docs/exploit-development.md

⚠️ Questo repository è destinato esclusivamente a ricerca autorizzata e test. Non utilizzarlo contro sistemi senza autorizzazione esplicita.

Verifica il tuo sistema

Esegui i seguenti controlli per determinare se il tuo ambiente rientra nel campo d'azione:

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

Se il kernel è nell'intervallo 6.10–6.13 e CONFIG_RXGK è abilitato, il sistema potrebbe essere vulnerabile.

Quindi usa la modalità di verifica del PoC dell'exploit:

cd exploit
./dirtydecrypt --check

Se il controllo ha successo, il sistema è vulnerabile. Se fallisce senza errori o segnala la mancanza del supporto RxRPC, allora il kernel non è sfruttabile.

Riepilogo dell'exploit

L'exploit utilizza un pacchetto RxRPC malformato per forzare il kernel a decifrare in una pagina condivisa della cache delle pagine.

Passaggi:

1. Seleziona una pagina di destinazione leggibile da un binario setuid o da un altro file sensibile.
2. Crea un contesto di decifratura RxRPC con una chiave AES controllata.
3. Costruisci un SKB a due frammenti in cui il primo frammento corrisponde alla pagina di destinazione e il secondo frammento contiene il testo cifrato.
4. Chiama rxgk_decrypt_skb() nel kernel.
5. Il kernel scrive il testo in chiaro nella voce della cache delle pagine di destinazione invece che in un buffer privato.
6. Esegui il binario modificato per ottenere i privilegi di root.

L'exploit è dimostrato in exploit/dirtydecrypt.c.

Sistemi interessati

Intervalli vulnerabili noti

• Kernel Linux da 6.10 a 6.13
• CONFIG_RXGK=m o CONFIG_RXGK=y

Indicazioni per le distribuzioni

• Fedora 40, 41 — vulnerabile sui kernel standard fino alla correzione
• Ubuntu 24.10 — vulnerabile sul kernel 6.11 predefinito
• Debian unstable (Sid) — vulnerabile sui kernel 6.12+ fino all'aggiornamento
• Arch Linux — vulnerabile fino alla versione 6.13.2
• SUSE Linux Enterprise 15 SP7 — vulnerabile su build 6.10 precedenti fino alla patch

Non vulnerabili

• RHEL 9 — kernel più vecchio senza rxgk
• AWS Linux 2 — serie di kernel più vecchia
• Android — non interessato sui branch Android tipici
• GCE Container-Optimized OS — CONFIG_RXGK disabilitato per impostazione predefinita

Come usare questo repository

Compila l'exploit

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

Per un binario completamente statico:

make static

Esegui l'exploit in sicurezza

./dirtydecrypt --check

Esempio di utilizzo:

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

Ordine di lettura consigliato

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

Mitigazione

Immediata

Disabilita RxRPC se non è necessario:

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

Permanente

Aggiorna a una versione del kernel con la patch:

• 6.13.2
• 6.12.10
• 6.6.75

Rilevamento

Controlla le operazioni relative ai socket e alle chiavi:

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

FAQ

D: Questo exploit può modificare i file su disco?
R: No. La vulnerabilità corrompe solo il contenuto della cache delle pagine; il file di backing su disco rimane invariato a meno che la pagina non venga successivamente scaricata.

D: Questa vulnerabilità è presente su kernel più recenti della 6.13?
R: No, la patch è stata backportata e il percorso di codice vulnerabile è risolto nei kernel successivi alla 6.13.2.

D: Qual è il modo più sicuro per testare?
R: Usa una VM isolata con un kernel vulnerabile standard e un account utente usa e getta.

D: Dove posso trovare il codice sorgente dell'exploit?
R: Vedi exploit/dirtydecrypt.c e exploit/README.md.

Struttura del repository

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

Riferimenti

• Patch del kernel Linux — commit a2567217
• NVD — CVE-2026-31635
• docs/references.md

Licenza

MIT — vedi LICENSE.
Questo repository è destinato esclusivamente a scopi educativi e di ricerca sulla sicurezza autorizzata.