🩸 CVE-2026-31635 – DirtyDecrypt

RXGK 페이지 캐시 변조를 통한 Linux 커널 로컬 권한 상승

"DirtyDecrypt" — 2026년 "Dirty" 계열 익스플로잇의 일부

📖 개요

DirtyDecrypt (CVE-2026-31635)는 Linux 커널의 rxrpc 서브시스템(특히 rxgk 구성 요소)에서 발생하는 로컬 권한 상승 취약점입니다.

이 취약점은 AES-CBC 복호화 과정에서 Copy-on-Write(COW) 검사 누락을 남용하여, 권한이 없는 사용자가 페이지 캐시를 변조하고 임의 파일 쓰기를 달성해 root 권한을 얻을 수 있게 합니다.

✨ 기능

• ✅ 깔끔하고 주석이 잘 달린 C 코드
• ✅ User + Network 네임스페이스 지원
• ✅ 안정적인 페이지 캐시 쓰기 프리미티브
• ✅ /etc/passwd 대상 공격 (root 비밀번호 공백화)
• ✅ SUID 바이너리 등 다른 대상으로 쉽게 수정 가능
• ✅ 정적 컴파일 지원

🛠️ 영향을 받는 시스템

• 취약한 커널: 6.10 ~ 6.13 (CONFIG_RXGK=y 사용 시)
• 일반적인 배포판: Fedora, Arch Linux, openSUSE Tumbleweed, 커스텀 커널
• 취약하지 않은 시스템: 약 6.10 이전 또는 CONFIG_RXGK=n인 커널

📋 요구 사항

• CONFIG_RXGK가 활성화된 Linux 커널
• 권한이 없는 로컬 사용자 접근 권한
• AF_RXRPC 소켓 지원
• keyctl 유틸리티 (rxrpc 키용)

🚀 컴파일

git clone https://github.com/0xBlackash/DirtyDecrypt.git
cd DirtyDecrypt
gcc -O2 -static -pthread CVE-2026-31635.c -o DirtyDecrypt

💥 사용법

sudo ./DirtyDecrypt

성공적인 출력 예시:

=== rxgk pagecache write (DirtyDecrypt) ===
uid=1000 euid=1000

[*] writing shellcode to /usr/bin/su (96 bytes from offset 0)
    [========================================] 100% (XXX/96, YYYY fires)
[*] XXX fires in Z.Zs
[*] exec /usr/bin/su
[*] restore: cp /tmp/.su_12345 /usr/bin/su

# whoami
root

# id
uid=0(root) gid=0(root) groups=0(root)

# 

📁 저장소 구조

DirtyDecrypt/
├── CVE-2026-31635.c          # Main exploit
├── README.md                 # This file
├── Makefile                  # Optional
└── exploit.log               # Optional output log

🔬 동작 원리 (기술적 설명)

1. User + Network 네임스페이스에 진입
2. 키링에 RXGK 키 추가
3. AF_RXRPC 소켓과 splice()를 사용하여 페이지 캐시 페이지를 RXGK 복호화 경로로 강제 진입
4. skb_cow_data() 없이 제자리 AES-CBC 복호화 트리거
5. 슬라이딩 윈도우 기법으로 대상 파일(/etc/passwd)을 바이트 단위로 변조
6. root 비밀번호 공백화 → root 셸 실행

⚠️ 면책 조항

이 익스플로잇은 교육 및 공인된 보안 테스트 목적으로만 사용하십시오.
소유하지 않은 시스템에서 무단 사용은 불법입니다.

📜 크레딧 및 저자

• 익스플로잇 작성자: Ashraf Zaryouh "0xBlackash"
• 최초 발견: 보안 연구원들 (2026년)
• PoC 버전: v2.1 (2026년 5월)