CVE-2026-31635 · DirtyDecrypt

[]

Локальное повышение привилегий в Linux в пути расшифровки RxRPC/GSSAPI. Отсутствие проверки skb_cow_data() в rxgk_decrypt_skb() позволяет неавторизованному локальному атакующему повредить страницы кэша страниц и перезаписать содержимое файлов, доступных только для чтения, в памяти.

Содержание

• Обзор
• Быстрый старт
• Проверка вашей системы
• Краткое описание эксплойта
• Затронутые системы
• Как использовать этот репозиторий
• Смягчение
• Часто задаваемые вопросы
• Структура репозитория
• Ссылки

Обзор

Этот репозиторий содержит материалы исследования и доказательство концепции для CVE-2026-31635, локального повышения привилегий в ядре Linux в файле net/rxrpc/rxgk.c.

Уязвимость возникает, когда RxRPC расшифровывает пакеты на месте с использованием AES-CBC, не убедившись предварительно, что данные пакета являются приватными. Если пакет построен из страниц кэша страниц, ядро может записать расшифрованные данные непосредственно в разделяемую файловую память.

Быстрый старт

Выберите путь, соответствующий вашей цели:

1. Проверить уязвимость
   • Проверьте версию ядра и CONFIG_RXGK
   • Используйте ./dirtydecrypt --check
2. Собрать эксплойт
   • cd exploit
   • make
3. Прочитать техническое исследование
   • Начните с docs/vulnerability-analysis.md
   • Изучите docs/patch-analysis.md и docs/exploit-development.md

⚠️ Этот репозиторий предназначен только для авторизованных исследований и тестирования. Не используйте его против систем без явного разрешения.

Проверка вашей системы

Выполните следующие проверки, чтобы определить, входит ли ваша среда в зону риска:

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

Если ядро находится в диапазоне 6.10–6.13 и CONFIG_RXGK включён, система может быть уязвима.

Затем используйте режим проверки PoC эксплойта:

cd exploit
./dirtydecrypt --check

Если проверка успешна, система уязвима. Если она корректно завершается с ошибкой или сообщает об отсутствии поддержки RxRPC, то ядро не эксплуатируемо.

Краткое описание эксплойта

Эксплойт использует некорректный пакет RxRPC, чтобы заставить ядро выполнить расшифровку в разделяемую страницу кэша страниц.

Шаги:

1. Выберите читаемую целевую страницу из setuid-двоичного файла или другого чувствительного файла.
2. Создайте контекст расшифровки RxRPC с контролируемым ключом AES.
3. Постройте двухфрагментный SKB, где первый фрагмент отображается на целевую страницу, а второй содержит зашифрованный текст.
4. Вызовите rxgk_decrypt_skb() в ядре.
5. Ядро записывает открытый текст в запись кэша страниц целевой страницы вместо приватного буфера.
6. Выполните модифицированный двоичный файл, чтобы получить root.

Эксплойт продемонстрирован в файле exploit/dirtydecrypt.c.

Затронутые системы

Известные уязвимые диапазоны

• Ядро Linux 6.10 – 6.13
• CONFIG_RXGK=m или CONFIG_RXGK=y

Рекомендации по дистрибутивам

• Fedora 40, 41 — уязвимы на стандартных ядрах до исправления
• Ubuntu 24.10 — уязвима на стандартном ядре 6.11
• Debian unstable (Sid) — уязвим на ядрах 6.12+ до обновления
• Arch Linux — уязвим до версии 6.13.2
• SUSE Linux Enterprise 15 SP7 — уязвим на старых сборках 6.10 до исправления

Не уязвимы

• RHEL 9 — старое ядро без rxgk
• AWS Linux 2 — устаревшая серия ядер
• Android — не затронут в типичных ветках Android
• GCE Container-Optimized OS — CONFIG_RXGK отключён по умолчанию

Как использовать этот репозиторий

Собрать эксплойт

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

Для полностью статической сборки:

make static

Безопасный запуск эксплойта

./dirtydecrypt --check

Пример использования:

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

Рекомендуемый порядок чтения

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

Смягчение

Немедленное

Отключите RxRPC, если он не требуется:

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

Постоянное

Обновитесь до исправленной версии ядра:

• 6.13.2
• 6.12.10
• 6.6.75

Обнаружение

Аудит соответствующих операций создания сокетов и ключей:

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

Часто задаваемые вопросы

В: Может ли этот эксплойт изменять файлы на диске?
A: Нет. Уязвимость повреждает только содержимое кэша страниц; сам файл на диске остаётся неизменным до тех пор, пока страница не будет сброшена.

В: Присутствует ли эта уязвимость на ядрах новее 6.13?
A: Нет, исправление было перенесено, и уязвимый путь кода исправлен в ядрах после 6.13.2.

В: Как safest способ протестировать это?
A: Используйте изолированную виртуальную машину с полноценным уязвимым ядром и одноразовой учётной записью пользователя.

В: Где найти исходный код эксплойта?
A: Смотрите exploit/dirtydecrypt.c и exploit/README.md.

Структура репозитория

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

Ссылки

• Исправление в ядре Linux — коммит a2567217
• NVD — CVE-2026-31635
• docs/references.md

Лицензия

MIT — см. LICENSE.
Этот репозиторий предназначен только для образовательных и авторизованных целей безопасности.