LỖ HỔNG NGHIÊM TRỌNG

Cảnh báo lỗ hổng DirtyDecrypt (CVE-2026-31635) cho phép chiếm quyền Root trên Linux

Mã khai thác Proof-of-concept (PoC) cho lỗ hổng DirtyDecrypt (còn gọi là DirtyCBC) đã chính thức được công bố. Đây là một lỗ hổng leo thang đặc quyền cục bộ (LPE) cực kỳ nguy hiểm, cho phép kẻ tấn công chiếm quyền kiểm soát hoàn toàn hệ thống từ một tài khoản bình thường.

Cơ chế tấn công của DirtyDecrypt

Lỗ hổng CVE-2026-31635 phát sinh do việc thiếu lớp bảo vệ Copy-on-Write (COW) trong hàm rxgk_decrypt_skb() khi xử lý giải mã gói tin socket. Điều này dẫn đến việc dữ liệu có thể bị ghi trực tiếp vào Page Cache của các tệp tin hệ thống nhạy cảm.

Phạm vi ảnh hưởng: Các bản phân phối kích hoạt CONFIG_RXGK như Fedora, Arch Linux và openSUSE Tumbleweed.

Mục tiêu khai thác: Các tệp tin đặc quyền như /etc/shadow, /etc/sudoers hoặc các tệp thực thi SUID.

Các biến thể liên quan và rủi ro chuỗi cung ứng

DirtyDecrypt được xác định là một biến thể nguy hiểm tương tự như các lỗ hổng Copy Fail (CVE-2026-31431) và Dirty Frag. Trong môi trường container, các nút công việc (worker nodes) chạy phiên bản Linux bị lỗi có thể trở thành bàn đạp để kẻ tấn công thoát khỏi pod (container escape) và tấn công vào máy chủ vật lý.

HÀNH ĐỘNG KHẨN CẤP

Kiểm tra ngay cấu hình nhân Kernel và vô hiệu hóa CONFIG_RXGK nếu không cần thiết.
Cập nhật các bản vá bảo mật mới nhất từ nhà cung cấp phân phối (AlmaLinux, Ubuntu, Red Hat, v.v.).
Sử dụng các giải pháp giám sát hệ thống để phát hiện các hành vi ghi đè tệp tin hệ thống bất thường.
Cân nhắc sử dụng repository bảo mật (như của Rocky Linux) để nhận các bản vá khẩn cấp.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS