Se ha publicado un código de prueba para la vulnerabilidad DirtyDecrypt (CVE-2026-31635), la cual permite la escalada de privilegios locales en el kernel de Linux. Este fallo afecta a distribuciones como Fedora y Arch Linux, permitiendo que usuarios sin permisos modifiquen archivos restringidos para obtener acceso root. Ante la frecuencia de estos errores, se propone implementar un interruptor de emergencia para desactivar funciones vulnerables del kernel en tiempo real.

Se ha publicado el código de explotación de prueba de concepto (PoC) para un fallo de seguridad recientemente parcheado en el kernel de Linux que podría permitir la escalada de privilegios locales (LPE).

Bautizada como DirtyDecrypt (también conocida como DirtyCBC), la vulnerabilidad fue descubierta y reportada por el equipo de seguridad de Zellic y V12 el 9 de mayo de 2026, solo para ser informados por los mantenedores de que se trataba de un duplicado de una vulnerabilidad que ya había sido parcheada en la línea principal.

"Es una escritura de pagecache rxgk debido a la falta de protección COW [copy-on-write] en rxgk_decrypt_skb", dijo el cofundador de Zellic, Luna Tong (también conocido como cts y gf_256) en una descripción compartida en GitHub.

Aunque no se reveló el identificador CVE, la vulnerabilidad en cuestión es CVE-2026-31635 (puntuación CVSS: 7.5) basándose en el hecho de que la Base de Datos Nacional de Vulnerabilidades (NVD) del NIST incluye un enlace al PoC de DirtyDecrypt en su registro de CVE.

"El fallo específico reside en rxgk_decrypt_skb(), la función que descifra un sk_buff (búfer de socket) entrante en el lado de recepción", dijo Moselwal .

"En esta ruta de código, el kernel gestiona páginas de memoria que se comparten parcialmente con el caché de páginas de otros procesos, una optimización normal de Linux protegida por copy-on-write: tan pronto como ocurre una escritura en una página compartida, se crea previamente una copia privada para que la escritura no se filtre en los datos de otro proceso".

La ausencia de esta protección COW en rxgk_decrypt_skb significa que los datos se escriben en la memoria de procesos privilegiados o, dependiendo de la ruta de explotación, en el caché de páginas de archivos privilegiados, como etc/shadow, /etc/sudoers, o un binario SUID, lo que conduce a la escalada de privilegios locales.

DirtyDecrypt afecta solo a las distribuciones con CONFIG_RXGK habilitado, como Fedora, Arch Linux y openSUSE Tumbleweed. En entornos contenedorizados, los nodos de trabajo que ejecuten una versión vulnerable de Linux podrían proporcionar una vía para escapar del pod.

La vulnerabilidad, según Zellic, se considera una variante de Copy Fail (CVE-2026-31431), Dirty Frag también conocida como Copy Fail 2 (CVE-2026-43284 y CVE-2026-43500), y Fragnesia (CVE-2026-46300), todas las cuales otorgan acceso de root en sistemas vulnerables.

Copy Fail , un fallo de escalada de privilegios locales en la interfaz de socket criptográfico AF_ALG, fue revelado por investigadores de Theori el 29 de abril de 2026. Fue seguido por Dirty Frag una semana después. Dirty Frag amplía Copy Fail con dos primitivas de escritura de caché de páginas.

Sin embargo, el investigador de seguridad Hyunwoo Kim se vio obligado a proceder con la divulgación pública después de que la ventana de embargo acordada terminara prematuramente cuando un parche fusionado para CVE-2026-43284 el 5 de mayo llevó a otro investigador, que desconocía el embargo, a analizar y publicar independientemente los detalles del defecto.

"Leí el commit, reconocí la ruta de xfrm ESP-in-UDP MSG_SPLICE_PAGES sin COW contra páginas de tubería compartidas como una primitiva LPE, y construí un PoC", señaló el investigador, que utiliza los alias online 0xdeadbeefnetwork y afflicted.sh . "El trabajo es la armamentización n-day de un commit público upstream, que es la práctica estándar una vez que una corrección de seguridad relevante llega a un árbol público".

Fragnesia es otra variante de Dirty Frag y afecta al subsistema XFRM ESP-in-TCP. Pero el resultado es el mismo: permite a atacantes locales sin privilegios modificar el contenido de archivos de solo lectura en el caché de páginas del kernel y obtener privilegios de root.

El desarrollo coincide con el descubrimiento de un fallo de LPE en el demonio Linux PackageKit (CVE-2026-41651 también conocido como Pack2TheRoot, puntuación CVSS: 8.8) y un fallo de gestión incorrecta de privilegios en el kernel (CVE-2026-46333 también conocido como ssh-keysign-pwn , puntuación CVSS: 5.5), que permite a un usuario local sin privilegios leer secretos propiedad de root, como claves privadas SSH.

Varias distribuciones de Linux han publicado avisos para CVE-2026-46333 -

* AlmaLinux * Amazon Linux * CloudLinux * Fedora * Gentoo * Red Hat * SUSE * Ubuntu

¿Kernel killswitch?

La oleada de nuevas revelaciones en un lapso de pocas semanas ha llevado a los desarrolladores del kernel de Linux a revisar una propuesta para un "interruptor de emergencia" (killswitch) que permitiría a los administradores deshabilitar funciones vulnerables del kernel en tiempo de ejecución hasta que esté disponible un parche para una vulnerabilidad de día cero.

"El killswitch permite que un operador privilegiado haga que una función del kernel elegida devuelva un valor fijo sin ejecutar su cuerpo, como una mitigación temporal para un error de seguridad mientras se prepara una corrección real", según una propuesta enviada por el desarrollador y mantenedor del kernel de Linux Sasha Levin.

"La función devuelve el valor proporcionado por el operador y nada más se ejecuta en su lugar. No hay lista de permitidos, ni comprobación del tipo de retorno; si la capa kprobe acepta el símbolo, el killswitch se activa. Una vez activado, el cambio surte efecto en cada CPU hasta que se escriba 'disengage' o el sistema se reinicie".

Rocky linux debuta repositorio de seguridad

Rocky Linux, por su parte, ha introducido un repositorio de seguridad opcional que permite a la distribución enviar correcciones de seguridad urgentes rápidamente, particularmente en escenarios donde vulnerabilidades graves se hacen públicas antes de que lleguen las correcciones coordinadas upstream.

"El repositorio está desactivado por defecto. Eso es intencional", dijeron los mantenedores . "La experiencia predeterminada de Rocky Linux sigue siendo exactamente lo que siempre ha sido: predecible, estable y totalmente compatible con upstream. Los administradores que deseen acceso a correcciones aceleradas pueden optar por ello cuando lo necesiten".

El repositorio de seguridad atiende específicamente a casos "específicos y limitados" donde una vulnerabilidad significativa es pública, existe código de explotación y los parches upstream aún no están disponibles. Rocky Linux ha enfatizado que no es un reemplazo para el proceso de lanzamiento regular.

"Si impulsamos una corrección y upstream decide no abordarla, la siguiente versión del kernel upstream sustituirá nuestra versión parcheada", añadieron los mantenedores. "Los usuarios que no hayan bloqueado la versión de su kernel, en ese punto, ya no tendrán nuestra corrección. Ese es el compromiso que aceptamos al construir esto".

Fuente:
THN