Vulnerabilidad en Linux Kernel CVE-2026-31635 permite escalada de privilegios
Publicado el
Publicación del PoC para la vulnerabilidad CVE-2026-31635
Recientemente, se ha liberado un código de prueba de concepto (PoC) para una vulnerabilidad en el Linux Kernel, identificada como CVE-2026-31635, que permite la escalada de privilegios locales (LPE). Esta vulnerabilidad, conocida como DirtyDecrypt o DirtyCBC, fue descubierta por el equipo de seguridad Zellic y V12 el 9 de mayo de 2026. Aunque los mantenedores del kernel indicaron que era un duplicado de una vulnerabilidad ya corregida, la gravedad de este fallo no debe subestimarse.
La vulnerabilidad se localiza en la función rxgk_decrypt_skb(), que se encarga de la desencriptación de los buffers de socket entrantes. El problema radica en la falta de un guardia de copy-on-write (COW), lo que permite que se escriba en la memoria de procesos privilegiados. Este fallo podría llevar a que datos críticos se escriban en archivos sensibles como /etc/shadow o /etc/sudoers, facilitando así la escalada de privilegios locales.
Afectaciones y Distribuciones Vulnerables
DirtyDecrypt afecta exclusivamente a distribuciones que tienen habilitado CONFIG_RXGK, tales como Fedora, Arch Linux y openSUSE Tumbleweed. En entornos de contenedores, los nodos de trabajo que utilizan una versión vulnerable de Linux podrían ser un punto de fuga para escapar del pod. Zellic ha clasificado esta vulnerabilidad como una variante de Copy Fail (CVE-2026-31431) y Dirty Frag, lo que incluye otros defectos que permiten el acceso root en sistemas vulnerables.
Contexto y Otras Vulnerabilidades
La vulnerabilidad Copy Fail, revelada por investigadores de Theori el 29 de abril de 2026, fue seguida de Dirty Frag, que amplía el ataque utilizando dos primitivas de escritura en page-cache. La divulgación pública de estas vulnerabilidades fue acelerada tras el final prematuro del periodo de embargo acordado, lo que llevó a que se hicieran públicos detalles sobre defectos de seguridad antes de lo previsto.
El investigador Hyunwoo Kim tuvo que avanzar con la divulgación pública después de que un parche para CVE-2026-43284 se fusionara, permitiendo así que otro investigador publicara información sobre el defecto de manera independiente.
Propuestas para Mitigar el Riesgo
La reciente ola de divulgaciones de vulnerabilidades ha llevado a los desarrolladores del Linux Kernel a considerar la implementación de un "killswitch" de emergencia. Este mecanismo permitiría a los administradores desactivar funciones del kernel vulnerables en tiempo de ejecución hasta que se disponga de un parche para una vulnerabilidad de día cero. La propuesta sugiere que este "killswitch" permitiría que un operador privilegiado haga que una función del kernel devuelva un valor fijo, evitando la ejecución del código original como una medida temporal de mitigación.
Nuevas Iniciativas de Seguridad
Por otro lado, Rocky Linux ha lanzado un repositorio de seguridad opcional que permite a la distribución implementar rápidamente correcciones de seguridad urgentes. Este repositorio, que está deshabilitado por defecto, tiene como objetivo ofrecer una experiencia estable y predecible a los administradores que deseen acceder a soluciones rápidas frente a vulnerabilidades críticas.
La combinación de estas vulnerabilidades y las respuestas proactivas de la comunidad de Linux destacan la importancia de mantener sistemas actualizados y estar atentos a nuevas amenazas que podrían comprometer la seguridad de los entornos operativos.