CVE-2026-31635 · DirtyDecrypt

[]

Linux の RxRPC/GSSAPI 復号パスにおけるローカル権限昇格。 rxgk_decrypt_skb() における skb_cow_data() チェックの欠如により、非特権のローカル攻撃者がページキャッシュのページを破損し、読み取り専用ファイルのメモリ内コンテンツを上書きできます。

目次

• 概要
• クイックスタート
• システムの確認
• エクスプロイトの概要
• 影響を受けるシステム
• このリポジトリの使い方
• 緩和策
• FAQ
• リポジトリ構成
• 参考文献

概要

このリポジトリには、Linux カーネル net/rxrpc/rxgk.c のローカル権限昇格脆弱性 CVE-2026-31635 の調査資料と概念実証が含まれています。

この脆弱性は、RxRPC がパケットデータがプライベートであることを最初に確認せずに AES-CBC を使用してパケットをインプレースで復号する際に発生します。パケットがページキャッシュのページから構築されている場合、カーネルは共有ファイルバックドメモリに直接復号する可能性があります。

クイックスタート

目標に応じたパスを選択してください:

1. 脆弱性の確認
   • カーネルバージョンと CONFIG_RXGK を確認
   • ./dirtydecrypt --check を実行
2. エクスプロイトのビルド
   • cd exploit
   • make
3. 技術調査資料を読む
   • docs/vulnerability-analysis.md から開始
   • docs/patch-analysis.md と docs/exploit-development.md を確認

⚠️ このリポジトリは許可された研究およびテストのみを目的としています。明示的な許可なくシステムに対して使用しないでください。

システムの確認

以下のチェックを実行して、環境が対象範囲内かどうかを確認してください:

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

カーネルが 6.10–6.13 の範囲にあり、CONFIG_RXGK が有効な場合、システムは脆弱である可能性があります。

次に、エクスプロイト PoC の確認モードを使用します:

cd exploit
./dirtydecrypt --check

チェックが成功した場合、システムは脆弱です。正常に失敗した場合や RxRPC サポートがないと報告された場合、カーネルはエクスプロイト不可能です。

エクスプロイトの概要

このエクスプロイトは、不正な形式の RxRPC パケットを使用して、カーネルを強制的に共有ページキャッシュページに復号させます。

手順:

1. setuid バイナリやその他の機密ファイルから読み取り可能なターゲットページを選択する。
2. 制御可能な AES 鍵で RxRPC 復号コンテキストを作成する。
3. 最初のフラグメントがターゲットページをマッピングし、2 番目のフラグメントに暗号文が含まれる 2 フラグメントの SKB を構築する。
4. カーネル内で rxgk_decrypt_skb() を呼び出す。
5. カーネルはプライベートバッファの代わりにターゲットページキャッシュエントリに平文を書き込む。
6. パッチ適用済みのバイナリを実行してルートを取得する。

エクスプロイトは exploit/dirtydecrypt.c で実証されています。

影響を受けるシステム

既知の脆弱な範囲

• Linux カーネル 6.10 から 6.13
• CONFIG_RXGK=m または CONFIG_RXGK=y

ディストリビューションガイダンス

• Fedora 40, 41 — パッチ適用前の標準カーネルでは脆弱
• Ubuntu 24.10 — デフォルトの 6.11 カーネルで脆弱
• Debian unstable (Sid) — 更新されるまで 6.12+ カーネルで脆弱
• Arch Linux — 6.13.2 まで脆弱
• SUSE Linux Enterprise 15 SP7 — パッチ適用前の古い 6.10 ビルドで脆弱

影響を受けないシステム

• RHEL 9 — rxgk なしの古いカーネル
• AWS Linux 2 — 古いカーネル系列
• Android — 通常の Android ブランチでは影響なし
• GCE Container-Optimized OS — CONFIG_RXGK はデフォルトで無効

このリポジトリの使い方

エクスプロイトのビルド

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

完全な静的バイナリの場合:

make static

エクスプロイトを安全に実行

./dirtydecrypt --check

使用例:

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

推奨読書順序

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

緩和策

即時対応

RxRPC が不要な場合は無効化:

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

恒久的対策

パッチ適用済みのカーネルリリースにアップグレード:

• 6.13.2
• 6.12.10
• 6.6.75

検出

関連するソケット作成とキー操作の監査:

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

FAQ

Q: このエクスプロイトでディスク上のファイルを変更できますか？
A: いいえ。この脆弱性はページキャッシュの内容のみを破損します。ディスク上のバッキングファイルは、後でページがフラッシュされない限り変更されません。

Q: この脆弱性は 6.13 より新しいカーネルに存在しますか？
A: いいえ。パッチはバックポートされており、脆弱なコードパスは 6.13.2 以降のカーネルで修正されています。

Q: これをテストする最も安全な方法は？
A: 脆弱な標準カーネルと使い捨てユーザーアカウントを備えた隔離された VM を使用してください。

Q: エクスプロイトのソースコードはどこにありますか？
A: exploit/dirtydecrypt.c および exploit/README.md を参照してください。

リポジトリ構成

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

参考文献

• Linux カーネルパッチ — コミット a2567217
• NVD — CVE-2026-31635
• docs/references.md

ライセンス

MIT — LICENSE を参照。
このリポジトリは教育および許可されたセキュリティ研究目的のみを対象としています。