PoC de Exploit para Vulnerabilidade DirtyDecrypt no Linux é Publicado: Risco de Escalada de Privilégios
Pesquisadores divulgaram um exploit de prova de conceito (PoC) para a vulnerabilidade DirtyDecrypt, que permite a escalada de privilégios em sistemas Linux. A falha, já corrigida na versão principal do kernel, afeta sistemas com o parâmetro CONFIG_RXGK ativado, abrindo portas para ataques locais.
MundiX News·21 de maio de 2026·3 min de leitura·👁 6 views
PoC de Exploit para Vulnerabilidade DirtyDecrypt no Linux é Publicado: Risco de Escalada de Privilégios
Pesquisadores de segurança publicaram um exploit de prova de conceito (PoC) para uma nova vulnerabilidade de escalada de privilégios no kernel Linux. A falha, denominada DirtyDecrypt (também conhecida como DirtyCBC), permite que um invasor local obtenha acesso root em sistemas vulneráveis.
A vulnerabilidade DirtyDecrypt foi descoberta independentemente pelas equipes da Zellic e Delphos Labs. No entanto, ao relatarem o problema aos desenvolvedores do kernel, foi constatado que a falha já havia sido corrigida na versão principal do Linux em abril de 2026. De acordo com dados do NVD, a vulnerabilidade é identificada como CVE-2026-31635, com uma pontuação de 7,5 na escala CVSS.
A raiz do problema reside no subsistema RxGK, associado ao protocolo RxRPC e aos sistemas de arquivos AFS/OpenAFS. Os pesquisadores explicam que a função rxgk_decrypt_skb() não possui proteção copy-on-write (COW). Em situações normais, o Linux cria uma cópia privada de uma página de memória antes de escrever em uma área compartilhada. No entanto, nesse caso, essa verificação está ausente.
Como resultado, um invasor pode escrever dados na memória de processos privilegiados ou diretamente no cache de páginas de arquivos protegidos, como /etc/shadow, /etc/sudoers e binários SUID. Isso permite a escalada de privilégios localmente para o nível root.
A vulnerabilidade DirtyDecrypt afeta apenas sistemas com o parâmetro CONFIG_RXGK ativado, que habilita o suporte RxGK para o cliente e o transporte de rede do sistema de arquivos Andrew File System (AFS). Isso significa que as distribuições mais afetadas são Fedora, Arch Linux e openSUSE Tumbleweed.
Essa nova vulnerabilidade se junta a uma série de problemas semelhantes descobertos nas últimas semanas. No final de abril, foi revelada a falha CopyFail, que permitia a modificação de cópias na memória de binários SUID. Em seguida, surgiu a informação sobre a vulnerabilidade Dirty Frag, uma combinação de dois problemas do kernel que também levam à obtenção de acesso root. Posteriormente, especialistas relataram o bug Fragnesia, que afeta o XFRM ESP-in-TCP e permite a sobrescrita de arquivos do sistema.
É importante notar que as vulnerabilidades já começaram a ser exploradas em ataques reais. Por exemplo, no início de maio, a CISA (Cybersecurity and Infrastructure Security Agency) adicionou a vulnerabilidade CopyFail ao seu catálogo de bugs explorados ativamente e exigiu que as agências federais americanas corrigissem o problema até 15 de maio.
Diante dessa série de problemas, os desenvolvedores do kernel estão discutindo medidas de proteção mais radicais. Por exemplo, foi proposto no Linux um mecanismo de killswitch, que permitirá aos administradores desativar temporariamente funções vulneráveis do kernel durante a operação do sistema, até que um patch completo seja lançado.
Enquanto isso, os desenvolvedores do Rocky Linux lançaram um repositório separado para a entrega acelerada de correções de emergência em casos em que um PoC de exploit já está disponível na rede, mas os patches oficiais para as principais versões do kernel ainda não estão prontos.
PoC de Exploit para Vulnerabilidade DirtyDecrypt no Linux é Publicado: Risco de Escalada de Privilégios
Pesquisadores de segurança publicaram um exploit de prova de conceito (PoC) para uma nova vulnerabilidade de escalada de privilégios no kernel Linux. A falha, denominada DirtyDecrypt (também conhecida como DirtyCBC), permite que um invasor local obtenha acesso root em sistemas vulneráveis.
A vulnerabilidade DirtyDecrypt foi descoberta independentemente pelas equipes da Zellic e Delphos Labs. No entanto, ao relatarem o problema aos desenvolvedores do kernel, foi constatado que a falha já havia sido corrigida na versão principal do Linux em abril de 2026. De acordo com dados do NVD, a vulnerabilidade é identificada como CVE-2026-31635, com uma pontuação de 7,5 na escala CVSS.
A raiz do problema reside no subsistema RxGK, associado ao protocolo RxRPC e aos sistemas de arquivos AFS/OpenAFS. Os pesquisadores explicam que a função rxgk_decrypt_skb() não possui proteção copy-on-write (COW). Em situações normais, o Linux cria uma cópia privada de uma página de memória antes de escrever em uma área compartilhada. No entanto, nesse caso, essa verificação está ausente.
Como resultado, um invasor pode escrever dados na memória de processos privilegiados ou diretamente no cache de páginas de arquivos protegidos, como /etc/shadow, /etc/sudoers e binários SUID. Isso permite a escalada de privilégios localmente para o nível root.
A vulnerabilidade DirtyDecrypt afeta apenas sistemas com o parâmetro CONFIG_RXGK ativado, que habilita o suporte RxGK para o cliente e o transporte de rede do sistema de arquivos Andrew File System (AFS). Isso significa que as distribuições mais afetadas são Fedora, Arch Linux e openSUSE Tumbleweed.
Essa nova vulnerabilidade se junta a uma série de problemas semelhantes descobertos nas últimas semanas. No final de abril, foi revelada a falha CopyFail, que permitia a modificação de cópias na memória de binários SUID. Em seguida, surgiu a informação sobre a vulnerabilidade Dirty Frag, uma combinação de dois problemas do kernel que também levam à obtenção de acesso root. Posteriormente, especialistas relataram o bug Fragnesia, que afeta o XFRM ESP-in-TCP e permite a sobrescrita de arquivos do sistema.
É importante notar que as vulnerabilidades já começaram a ser exploradas em ataques reais. Por exemplo, no início de maio, a CISA (Cybersecurity and Infrastructure Security Agency) adicionou a vulnerabilidade CopyFail ao seu catálogo de bugs explorados ativamente e exigiu que as agências federais americanas corrigissem o problema até 15 de maio.
Diante dessa série de problemas, os desenvolvedores do kernel estão discutindo medidas de proteção mais radicais. Por exemplo, foi proposto no Linux um mecanismo de killswitch, que permitirá aos administradores desativar temporariamente funções vulneráveis do kernel durante a operação do sistema, até que um patch completo seja lançado.
Enquanto isso, os desenvolvedores do Rocky Linux lançaram um repositório separado para a entrega acelerada de correções de emergência em casos em que um PoC de exploit já está disponível na rede, mas os patches oficiais para as principais versões do kernel ainda não estão prontos.
