DirtyDecrypt (o DirtyCBC) es una vulnerabilidad de escalamiento de privilegios local en Linux que permite obtener acceso de root mediante el módulo rxgk, afectando a distribuciones como Fedora, Arch y openSUSE. Se recomienda actualizar el kernel inmediatamente.

Nueva vulnerabilidad de escalamiento de privilegios en Linux: DirtyDecrypt

Se ha dado a conocer una falla de seguridad denominada DirtyDecrypt (o DirtyCBC), la cual permite a un atacante obtener acceso de root en ciertos sistemas Linux. El problema reside en el módulo rxgk del kernel, específicamente debido a una falta de protección COW en la función rxgk_decrypt_skb.

Aunque el equipo de seguridad de V12 reportó el hallazgo en mayo de 2026, se determinó que se trataba de un error ya corregido previamente, coincidiendo con los detalles del CVE-2026-31635, parcheado el 25 de abril. 

 

Para que un sistema sea vulnerable, debe tener habilitada la opción de configuración CONFIG_RXGK. Esto afecta principalmente a distribuciones que utilizan versiones muy recientes del kernel, tales como Fedora, Arch Linux y openSUSE Tumbleweed.

Esta vulnerabilidad es similar a otros fallos recientes como Dirty Frag, Fragnesia y Copy Fail. Ante esta situación, se recomienda encarecidamente actualizar el kernel a la última versión disponible.

Para aquellos usuarios que no puedan actualizar de inmediato, existe una medida de mitigación temporal que consiste en deshabilitar ciertos módulos mediante la configuración de modprobe, aunque esto podría afectar el funcionamiento de las VPN IPsec y los sistemas de archivos AFS.

Este incidente ocurre en un contexto de alerta, ya que la CISA ha confirmado que otras vulnerabilidades similares, como Copy Fail, están siendo explotadas activamente por atacantes.

DirtyDecrypt pertenece a la misma clase de vulnerabilidades que otros fallos de escalada de privilegios revelados en las últimas semanas, entre los que se incluyen Dirty Frag, Fragnesia y Copy Fail.

Se recomienda a los usuarios de Linux que utilicen distribuciones potencialmente afectadas por DirtyDecrypt que instalen las últimas actualizaciones del kernel lo antes posible.

Sin embargo, aquellos que no puedan aplicar el parche a sus dispositivos de inmediato deben utilizar la misma medida de mitigación que se empleó para Dirty Frag (aunque esto también inutilizará las VPN IPsec y los sistemas de archivos de red distribuidos AFS):

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"

Fuentes:
http://blog.segu-info.com.ar/2026/05/otro-escalamiento-local-en-linux.html