CVE-2026-31635 · DirtyDecrypt

[]

Linux 内核 RxRPC/GSSAPI 解密路径上的本地权限提升漏洞。 rxgk_decrypt_skb() 中缺少 skb_cow_data() 检查，允许无特权的本地攻击者破坏页缓存页面并覆盖只读文件的内存内容。

目录

• 概述
• 快速开始
• 验证你的系统
• 漏洞利用总结
• 受影响系统
• 如何使用本仓库
• 缓解措施
• 常见问题
• 仓库布局
• 参考资料

概述

本仓库包含 CVE-2026-31635 的研究材料和概念验证代码，这是 Linux 内核 net/rxrpc/rxgk.c 中的一个本地权限提升漏洞。

该漏洞发生在 RxRPC 使用 AES-CBC 原地解密数据包时，未事先确保数据包数据是私有的。如果数据包由页缓存页面构建，内核可能直接解密到共享的文件后备内存中。

快速开始

根据你的目标选择路径：

1. 验证漏洞
   • 检查内核版本和 CONFIG_RXGK
   • 使用 ./dirtydecrypt --check
2. 构建漏洞利用程序
   • cd exploit
   • make
3. 阅读技术研究
   • 从 docs/vulnerability-analysis.md 开始
   • 查看 docs/patch-analysis.md 和 docs/exploit-development.md

⚠️ 本仓库仅用于授权的研究和测试。严禁未经明确许可在系统上使用。

验证你的系统

运行以下检查以确定你的环境是否受影响：

uname -r
zgrep CONFIG_RXGK /proc/config.gz 2>/dev/null || grep CONFIG_RXGK /boot/config-$(uname -r)

如果内核处于 6.10–6.13 范围且 CONFIG_RXGK 已启用，则系统可能容易受攻击。

然后使用漏洞利用程序的 PoC 验证模式：

cd exploit
./dirtydecrypt --check

如果检查成功，系统存在漏洞。如果检查失败或报告缺少 RxRPC 支持，则内核不可利用。

漏洞利用总结

该漏洞利用一个畸形的 RxRPC 数据包，强制内核将数据解密到共享的页缓存页面中。

步骤：

1. 从 setuid 二进制文件或其他敏感文件中选择一个可读的目标页面。
2. 创建一个带有可控 AES 密钥的 RxRPC 解密上下文。
3. 构建一个双片段的 SKB，其中第一个片段映射到目标页面，第二个片段包含密文。
4. 在内核中调用 rxgk_decrypt_skb()。
5. 内核将明文写入目标页缓存条目，而不是私有缓冲区。
6. 执行修补后的二进制文件以获得 root 权限。

漏洞利用程序在 exploit/dirtydecrypt.c 中演示。

受影响系统

已知受影响范围

• Linux 内核 6.10 至 6.13
• CONFIG_RXGK=m 或 CONFIG_RXGK=y

发行版指南

• Fedora 40, 41 — 在补丁发布前的默认内核上存在漏洞
• Ubuntu 24.10 — 默认 6.11 内核存在漏洞
• Debian unstable (Sid) — 更新前 6.12+ 内核存在漏洞
• Arch Linux — 6.13.2 之前存在漏洞
• SUSE Linux Enterprise 15 SP7 — 较旧的 6.10 版本在补丁前存在漏洞

不受影响

• RHEL 9 — 较旧的内核，不含 rxgk
• AWS Linux 2 — 较旧的内核系列
• Android — 典型 Android 分支不受影响
• GCE Container-Optimized OS — CONFIG_RXGK 默认禁用

如何使用本仓库

构建漏洞利用程序

git clone https://github.com/0xFuffM3/CVE-2026-31635-DirtyDecrypt.git
cd exploit
make

构建完全静态的二进制文件：

make static

安全运行漏洞利用程序

./dirtydecrypt --check

示例用法：

./dirtydecrypt -f /usr/bin/sudo -o /tmp/sudo_patched
./dirtydecrypt -p shellcode/payload.bin

推荐阅读顺序

1. docs/vulnerability-analysis.md
2. docs/exploit-development.md
3. docs/patch-analysis.md
4. docs/affected-kernels.md

缓解措施

立即措施

如果不需要 RxRPC，请禁用它：

sudo rmmod rxrpc
sudo modprobe -r rxgk
echo "blacklist rxrpc" | sudo tee /etc/modprobe.d/blacklist-rxrpc.conf

永久措施

升级到已修补的内核版本：

• 6.13.2
• 6.12.10
• 6.6.75

检测

审计相关的套接字创建和密钥操作：

sudo auditctl -a always,exit -F arch=b64 -S socket -F a0=28 -k rxrpc_sock

常见问题

问：这个漏洞利用程序能修改磁盘上的文件吗？
答：不能。该漏洞仅破坏页缓存内容；磁盘上的后备文件在页面被刷出之前保持不变。

问：这个漏洞在 6.13 之后的内核中存在吗？
答：不存在。补丁已被反向移植，6.13.2 之后的内核中易受攻击的代码路径已被修复。

问：最安全的测试方法是什么？
答：使用隔离的虚拟机，运行易受攻击的默认内核和一次性用户帐户。

问：在哪里可以找到漏洞利用源代码？
答：参见 exploit/dirtydecrypt.c 和 exploit/README.md。

仓库布局

CVE-2026-31635-DirtyDecrypt/
├── README.md
├── LICENSE
├── DISCLAIMER.md
├── CHANGELOG.md
├── exploit/
│   ├── README.md
│   ├── dirtydecrypt.c
│   ├── Makefile
│   └── shellcode/
│       └── payload.asm
└── docs/
    ├── vulnerability-analysis.md
    ├── exploit-development.md
    ├── affected-kernels.md
    ├── patch-analysis.md
    └── references.md

参考资料

• Linux 内核补丁 — 提交 a2567217
• NVD — CVE-2026-31635
• docs/references.md

许可证

MIT — 参见 LICENSE。
本仓库仅用于教育目的和授权的安全研究。