DirtyDecrypt rouvre la menace : l'échec critique du cache du noyau vous permet de grimper à la racine dans Linux

La publication publique d'une preuve de concept (PoC) pour ce qui est connu sous le nom de DirtyDecrypt - également étiqueté dans certaines sources telles que DirtyCBC - ranime les alarmes sur une chaîne de défaillances dans la gestion du cache de page du noyau qui, exploité localement, permet de grimper les privilèges root sur les systèmes Linux vulnérables.

En substance, DirtyDecrypt dérive d'une omission du mécanisme de copie lors de l'écriture (copy-on-write, COW) dans la fonction qui déploie les paquets entrants dans un certain sous-système de noyau cryptographique: lorsque l'écriture est faite sur des pages partagées avec la page cache d'autres processus, le noyau doit d'abord créer une copie privée; si cette étape est manquante, un attaquant local peut écrire en mémoire appartenant à des processus privilégiés ou du contenu corrompu dans la page cache de fichiers sensibles tels que / etc / ombre ou un SUID binaire, ce qui facilite l'obtention de privilèges élevés.

Le problème spécifique est identifié dans le CVE-2026-31635 et le PoC disponible montre comment l'absence de la garde COW dans rxgk _ déchiffrer _ skb génère la primitiva de l'écriture qui exploite les familles de vulnérabilités connues comme Cody Fail, Dirty Frag et Fragnesia. Ces familles partagent la caractéristique dangereuse d'autoriser la modification des données « lues seulement » à partir d'un contexte sans privilèges lorsque la page cache est corrompue.

L'exposition n'est pas universelle : elle affecte uniquement le noyau compilé avec CONFIG _ RXGK activé, qui est une configuration par défaut activée dans des distributions plus modernes comme Fedora, Arch Linux et openSUSE Tumbleweed. Dans les environnements contenants, l'impact est critique car un nœud de travail avec un noyau vulnérable peut devenir un vecteur d'échappement d'un pod engagé à l'hôte.

Outre le vecteur technique, il y a une leçon opérationnelle : l'apparition rapide de l'exploitation publique après des correctifs en amont - ou même après des engagements publics qui révèlent le primitif - a provoqué des discussions sur les contre-mesures temporaires chaudes. Une des discussions dans le développement du noyau propose un « killswitch » qui permettrait à un administrateur de forcer une fonction du noyau à retourner une valeur fixe sans exécuter son corps, comme une atténuation d'urgence jusqu'à ce que l'arrangement final soit disponible. Toutefois, cette proposition comporte des risques et des limites qui doivent être soigneusement examinés avant d'être adoptés dans des environnements productifs.

Si vous gérez des systèmes Linux, les actions immédiates recommandées sont claires : il priorise l'application des mises à jour officielles de votre distribution qui corrigent les correctifs CVE-2026-31635 et les correctifs connexes ; après mise à jour, redémarrez les hôtes pour vous assurer que le nouveau noyau est actif. Vérifiez si votre noyau est construit avec l'option affectée en cours d'exécution, par exemple, grep -i CONFIG _ RXGK / boot / config- $(uname -r) ou zgrep CONFIG _ RXGK / proc / config.gz lorsque ce fichier existe.

S'il n'y a pas de correctif disponible pour votre version et que vous ne pouvez pas mettre à jour immédiatement, il réduit la surface d'attaque en limitant l'accès à des comptes locaux peu fiables, en empêchant les utilisateurs sans besoin de compiler du code ou de créer des sockets critiques, et en renforçant la ségrégation des conteneurs : il évite d'exécuter des charges de travail peu fiables sur des nœuds partagés et applique des politiques de sécurité du noyau telles que seccomp, SELINUX / AppArmor et des limites de capacité. Il évalue également la possibilité d'utiliser un noyau de support étendu ou des dépôts de sécurité accélérés qui offrent certaines distributions lorsqu'un patch urgent est nécessaire.

La détection de l'exploitation rétroactive est complexe car la modification de la page de cache ne laisse pas toujours de traces claires sur le disque jusqu'à ce que le contenu soit écrit. En tant que mesures de détection et d'atténuation, examiner l'intégrité des fichiers sensibles avec des outils de vérification du paquet (p. ex. rpm --verify ou debsums), rechercher des changements anormaux dans / etc / ombre et / etc / sudoers, et surveiller les événements inhabituels au niveau du noyau et du système qui indiquent l'exécution de code local avec des privilèges plus élevés.

Cet épisode doit être compris comme faisant partie d'une tendance récente : en quelques semaines, de multiples LPES ont émergé avec des racines techniques différentes (p. ex. Pack2TheRoot, CVE-2026-41651, et des défaillances de gestion des privilèges comme CVE-2026-46333) et la communauté discute non seulement de la façon de se garer, mais aussi de la façon de réduire le temps entre la détection et l'atténuation efficace. Pour plus d'informations techniques sur les détails de la vulnérabilité et de sa classification, voir l'onglet NVD CVE-2026-31635 et la relation avec d ' autres incidents récents CVE-2026-41651.

En conclusion pratique : il agit en priorité dans l'application des patchs et la remise en service du noyau, vérifie la configuration de votre noyau pour savoir si vous êtes sensible, limite l'accès local non essentiel et traite les nœuds conteneurs comme des actifs critiques dont la sécurité du noyau est aussi importante que les applications qu'ils exécutent. La rapidité de distribution du PoC public fait de la défense proactive et de l'hygiène opérationnelle la meilleure protection contre ces menaces.