### DirtyDecrypt: Detalles e Impacto La vulnerabilidad **DirtyDecrypt**, reportada por **Zellic** y el **equipo de seguridad V12**, se origina en una guarda de copia en escritura (COW) faltante en `rxgk_decrypt_skb`. Según **Luna Tong** (alias cts y gf_256) de Zellic, esta omisión permite escribir datos en la memoria de procesos privilegiados o en la caché de páginas de archivos privilegiados, como `/etc/shadow`, `/etc/sudoers` o binarios SUID. Esto puede conducir a una escalada local de privilegios. Como explica Moselwal, `rxgk_decrypt_skb()` descifra los buffers de socket entrantes. La ausencia de una guarda COW significa que los datos pueden escribirse en páginas de memoria compartidas con la caché de páginas de otros procesos sin crear primero una copia privada. ### Sistemas Afectados **DirtyDecrypt** afecta específicamente a las distribuciones de Linux con **CONFIG_RXGK** habilitado, incluyendo **Fedora**, **Arch Linux** y **openSUSE Tumbleweed**. En entornos contenerizados, los nodos de trabajo vulnerables podrían proporcionar una ruta de escape desde el pod. ### Una Familia de Fallas Zellic evalúa **DirtyDecrypt** como una variante de vulnerabilidades como **Copy Fail** (**CVE-2026-31431**), **Dirty Frag** (alias Copy Fail 2, **CVE-2026-43284** y **CVE-2026-43500**), y **Fragnesia** (**CVE-2026-46300**). Todas estas fallas otorgan acceso root en sistemas vulnerables al explotar debilidades en la gestión de memoria. **Copy Fail**, descubierta por investigadores de **Theori**, es una falla de escalada local de privilegios en la interfaz de socket criptográfico AF_ALG. **Dirty Frag** amplía **Copy Fail** con dos primitivas de escritura en la caché de páginas. El investigador de seguridad **Hyunwoo Kim** divulgó públicamente detalles después de que un parche fusionado para **CVE-2026-43284** llevara a otro investigador (0xdeadbeefnetwork/afflicted.sh) a descubrir y publicar de forma independiente detalles de la vulnerabilidad. **Fragnesia** es otra variante de **Dirty Frag**, que afecta al subsistema XFRM ESP-in-TCP, lo que lleva al mismo resultado: los atacantes locales sin privilegios pueden modificar el contenido de archivos de solo lectura en la caché de páginas del kernel y obtener privilegios root. ### Otras Vulnerabilidades Recientes del Kernel de Linux Esta vulnerabilidad llega junto con otras fallas LPE descubiertas recientemente, incluida una en el demonio **PackageKit** de Linux (**CVE-2026-41651**, alias Pack2TheRoot) y una falla de gestión de privilegios inadecuada en el kernel (**CVE-2026-46333**, alias ssh-keysign-pwn). Esta última permite a los usuarios locales sin privilegios leer secretos propiedad de root, como las claves privadas SSH. Varios distribuciones de Linux han publicado avisos para **CVE-2026-46333**: * [AlmaLinux](https://almalinux.org/blog/2026-05-15-ssh-keysign-pwn-cve-2026-46333/) * [Amazon Linux](https://explore.alas.aws.amazon.com/CVE-2026-46333.html) * [CloudLinux](https://blog.cloudlinux.com/ptrace-exit-race-cve-2026-46333-mitigation-and-kernel-update) * [Fedora](https://bodhi.fedoraproject.org/updates/FEDORA-2026-8b4a8d18d2) * [Gentoo](https://bugs.gentoo.org/show_bug.cgi?id=CVE-2026-46333) * [Red Hat](https://access.redhat.com/security/cve/cve-2026-46333) * [SUSE](https://www.suse.com/security/cve/CVE-2026-46333.html) * [Ubuntu](https://ubuntu.com/blog/ssh-keysign-pwn-linux-vulnerability-fixes-available) ### Propuesta de "Killswitch" para el Kernel La reciente ola de divulgaciones de vulnerabilidades del kernel ha impulsado la discusión entre los desarrolladores del kernel de Linux sobre la implementación de un "killswitch" de emergencia. Esto permitiría a los administradores deshabilitar funciones vulnerables del kernel en tiempo de ejecución hasta que haya un parche disponible. El desarrollador del kernel de Linux **Sasha Levin** propuso el "killswitch", que permitiría a un operador privilegiado forzar que una función elegida del kernel devuelva un valor fijo sin ejecutar su cuerpo. Esto serviría como una mitigación temporal para los errores de seguridad. ### Repositorio de Seguridad de Rocky Linux **Rocky Linux** ha introducido un repositorio de seguridad opcional para entregar rápidamente correcciones de seguridad urgentes, especialmente cuando las vulnerabilidades se conocen públicamente antes de que los parches upstream estén disponibles. Este repositorio está deshabilitado por defecto, manteniendo el enfoque de la distribución en la estabilidad y la compatibilidad upstream. Los administradores pueden optar por acceder a estas correcciones aceleradas cuando sea necesario. Este repositorio se adapta a casos específicos en los que una vulnerabilidad significativa es pública, existe código de exploit y los parches upstream aún no están disponibles. No está destinado a reemplazar el proceso de lanzamiento regular.