🩸 CVE-2026-31635 – DirtyDecrypt

Локальное повышение привилегий в ядре Linux через повреждение кэша страниц RXGK

"DirtyDecrypt" — Часть семейства эксплойтов "Dirty" 2026 года

📖 Обзор

DirtyDecrypt (CVE-2026-31635) — это уязвимость локального повышения привилегий в подсистеме rxrpc ядра Linux (конкретно в компоненте rxgk).

Она злоупотребляет отсутствием проверки Copy-on-Write (COW) при расшифровке AES-CBC, позволяя непривилегированному пользователю повредить кэш страниц и добиться произвольной записи в файлы, что приводит к получению root-доступа.

✨ Возможности

• ✅ Чистый и хорошо прокомментированный код на C
• ✅ Поддержка пространств имён пользователя и сети
• ✅ Надёжный примитив записи в кэш страниц
• ✅ Цель — /etc/passwd (пустой пароль root)
• ✅ Легко модифицируется для SUID-бинарников или других целей
• ✅ Поддержка статической компиляции

🛠️ Затронутые системы

• Уязвимые ядра: 6.10 ~ 6.13 (с CONFIG_RXGK=y)
• Распространённые дистрибутивы: Fedora, Arch Linux, openSUSE Tumbleweed, пользовательские ядра
• Не уязвимы: ядра до ~6.10 или те, у которых CONFIG_RXGK=n

📋 Требования

• Ядро Linux с включённым CONFIG_RXGK
• Доступ непривилегированного локального пользователя
• Поддержка сокетов AF_RXRPC
• Утилита keyctl (для ключей rxrpc)

🚀 Компиляция

git clone https://github.com/0xBlackash/DirtyDecrypt.git
cd DirtyDecrypt
gcc -O2 -static -pthread CVE-2026-31635.c -o DirtyDecrypt

💥 Использование

sudo ./DirtyDecrypt

Ожидаемый успешный вывод:

=== rxgk pagecache write (DirtyDecrypt) ===
uid=1000 euid=1000

[*] writing shellcode to /usr/bin/su (96 bytes from offset 0)
    [========================================] 100% (XXX/96, YYYY fires)
[*] XXX fires in Z.Zs
[*] exec /usr/bin/su
[*] restore: cp /tmp/.su_12345 /usr/bin/su

# whoami
root

# id
uid=0(root) gid=0(root) groups=0(root)

# 

📁 Структура репозитория

DirtyDecrypt/
├── CVE-2026-31635.c          # Главный эксплойт
├── README.md                 # Этот файл
├── Makefile                  # Опционально
└── exploit.log               # Опциональный лог вывода

🔬 Как это работает (технически)

1. Входит в пространство имён пользователя и сети
2. Добавляет ключ RXGK в связку ключей
3. Использует сокеты AF_RXRPC + splice() для принудительного направления страниц кэша страниц в путь расшифровки RXGK
4. Вызывает расшифровку AES-CBC на месте без skb_cow_data()
5. Повреждает целевой файл (/etc/passwd) байт за байтом с использованием метода скользящего окна
6. Очищает пароль root → запускает root-оболочку

⚠️ Отказ от ответственности

Данный эксплойт предназначен только для образовательного и авторизованного тестирования безопасности.
Несанкционированное использование на системах, которые вам не принадлежат, является незаконным.

📜 Авторы и благодарности

• Автор эксплойта: Ashraf Zaryouh "0xBlackash"
• Первоначальное обнаружение: Исследователи безопасности (2026)
• Версия PoC: v2.1 (Май 2026)