CVE-2026-31635 · DirtyDecrypt

[]

Escalada de privilégio local no Linux através do caminho de descriptografia RxRPC/GSSAPI. A falta de uma verificação skb_cow_data() em rxgk_decrypt_skb() permite que um atacante local não privilegiado corrompa páginas do cache de páginas e sobrescreva o conteúdo em memória de arquivos somente leitura.

Contents

• Overview
• Quick Start
• Verify Your System
• Exploit Summary
• Affected Systems
• How to Use This Repository
• Mitigation
• FAQ
• Repository Layout
• References

Overview

Este repositório contém os materiais de pesquisa e a prova de conceito para CVE-2026-31635, uma escalada de privilégio local no kernel Linux em net/rxrpc/rxgk.c.

A vulnerabilidade ocorre quando o RxRPC descriptografa pacotes in-place usando AES-CBC sem primeiro garantir que os dados do pacote sejam privados. Se o pacote for construído a partir de páginas do cache de páginas, o kernel pode descriptografar diretamente em memória compartilhada com arquivo.

Quick Start

Escolha o caminho que corresponde ao seu objetivo:

1. Verificar vulnerabilidade
   • Verifique a versão do kernel e CONFIG_RXGK
   • Use ./dirtydecrypt --check
2. Compilar o exploit
   • cd exploit
   • make
3. Ler a pesquisa técnica
   • Comece com docs/vulnerability-analysis.md
   • Revise docs/patch-analysis.md e docs/exploit-development.md

⚠️ Este repositório é apenas para pesquisa autorizada e testes. Não utilize contra sistemas sem permissão explícita.

Verify Your System

Execute as seguintes verificações para determinar se seu ambiente está no escopo:

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

Se o kernel estiver na faixa 6.10–6.13 e CONFIG_RXGK estiver habilitado, o sistema pode estar vulnerável.

Em seguida, use o modo de verificação do PoC do exploit:

cd exploit
./dirtydecrypt --check

Se a verificação for bem-sucedida, o sistema está vulnerável. Se falhar de forma limpa ou relatar falta de suporte RxRPC, então o kernel não é explorável.

Exploit Summary

O exploit usa um pacote RxRPC malformado para forçar o kernel a descriptografar dentro de uma página compartilhada do cache de páginas.

Etapas:

1. Selecione uma página alvo legível a partir de um binário setuid ou outro arquivo sensível.
2. Crie um contexto de descriptografia RxRPC com uma chave AES controlada.
3. Construa um SKB de dois fragmentos, onde o primeiro fragmento mapeia para a página alvo e o segundo contém texto cifrado.
4. Chame rxgk_decrypt_skb() no kernel.
5. O kernel escreve texto simples na entrada do cache de páginas alvo em vez de um buffer privado.
6. Execute o binário modificado para obter root.

O exploit é demonstrado em exploit/dirtydecrypt.c.

Affected Systems

Faixas vulneráveis conhecidas

• Linux kernel 6.10 a 6.13
• CONFIG_RXGK=m ou CONFIG_RXGK=y

Orientação por distribuição

• Fedora 40, 41 — vulnerável nos kernels padrão até a correção
• Ubuntu 24.10 — vulnerável no kernel 6.11 padrão
• Debian unstable (Sid) — vulnerável nos kernels 6.12+ até atualização
• Arch Linux — vulnerável até 6.13.2
• SUSE Linux Enterprise 15 SP7 — vulnerável em builds 6.10 antigos até o patch

Não vulneráveis

• RHEL 9 — kernel antigo sem rxgk
• AWS Linux 2 — série de kernel antiga
• Android — não afetado em ramos típicos do Android
• GCE Container-Optimized OS — CONFIG_RXGK desabilitado por padrão

How to Use This Repository

Compilar o exploit

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

Para um binário totalmente estático:

make static

Executar o exploit com segurança

./dirtydecrypt --check

Exemplo de uso:

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

Ordem de leitura recomendada

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

Mitigation

Imediata

Desabilite o RxRPC se não for necessário:

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

Permanente

Atualize para um kernel corrigido:

• 6.13.2
• 6.12.10
• 6.6.75

Detecção

Audite operações de socket e chave relevantes:

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

FAQ

P: Este exploit pode modificar arquivos no disco?
R: Não. A vulnerabilidade corrompe apenas o conteúdo do cache de páginas; o arquivo subjacente no disco permanece inalterado, a menos que a página seja posteriormente sincronizada.

P: Esta vulnerabilidade está presente em kernels mais recentes que 6.13?
R: Não. O patch foi backportado e o caminho de código vulnerável está corrigido em kernels após 6.13.2.

P: Qual a maneira mais segura de testar isto?
R: Use uma VM isolada com um kernel vulnerável padrão e uma conta de usuário descartável.

P: Onde posso encontrar o código-fonte do exploit?
R: Veja exploit/dirtydecrypt.c e exploit/README.md.

Repository Layout

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

References

• Patch do kernel Linux — commit a2567217
• NVD — CVE-2026-31635
• docs/references.md

License

MIT — veja LICENSE.
Este repositório destina-se apenas a uso educacional e pesquisa de segurança autorizada.