### DirtyDecrypt: Detalhes e Impacto A vulnerabilidade **DirtyDecrypt**, reportada pela **Zellic** e pela **equipe de segurança V12**, origina-se de uma guarda de copy-on-write (COW) ausente em `rxgk_decrypt_skb`. De acordo com **Luna Tong** (também conhecida como cts e gf_256) da Zellic, essa falha permite que dados sejam escritos na memória de processos privilegiados ou no cache de páginas de arquivos privilegiados, como `/etc/shadow`, `/etc/sudoers` ou binários SUID. Isso pode levar ao escalonamento de privilégios local. Conforme explicado por Moselwal, `rxgk_decrypt_skb()` descriptografa buffers de socket recebidos. A ausência de uma guarda COW significa que dados podem ser escritos em páginas de memória compartilhadas com o cache de páginas de outros processos sem criar uma cópia privada primeiro. ### Sistemas Afetados O **DirtyDecrypt** afeta especificamente distribuições Linux com **CONFIG_RXGK** habilitado, incluindo **Fedora**, **Arch Linux** e **openSUSE Tumbleweed**. Em ambientes conteinerizados, nós de trabalho vulneráveis poderiam fornecer um caminho de escape do pod. ### Uma Família de Falhas A Zellic avalia o **DirtyDecrypt** como uma variante de vulnerabilidades como **Copy Fail** (**CVE-2026-31431**), **Dirty Frag** (também conhecido como Copy Fail 2, **CVE-2026-43284** e **CVE-2026-43500**) e **Fragnesia** (**CVE-2026-46300**). Todas essas falhas concedem acesso root em sistemas vulneráveis, explorando fraquezas no gerenciamento de memória. O **Copy Fail**, descoberto por pesquisadores da **Theori**, é uma falha de escalonamento de privilégios local na interface de socket criptográfico AF_ALG. O **Dirty Frag** expande o **Copy Fail** com dois primitivos de escrita no cache de páginas. O pesquisador de segurança **Hyunwoo Kim** divulgou publicamente detalhes após um patch mesclado para o **CVE-2026-43284** levar outro pesquisador (0xdeadbeefnetwork/afflicted.sh) a descobrir e publicar independentemente detalhes da vulnerabilidade. O **Fragnesia** é outra variante do **Dirty Frag**, afetando o subsistema XFRM ESP-in-TCP, levando ao mesmo resultado: atacantes locais não privilegiados podem modificar o conteúdo de arquivos somente leitura no cache de páginas do kernel e obter privilégios root. ### Outras Vulnerabilidades Recentes no Kernel Linux Esta vulnerabilidade chega junto com outras falhas de LPE recentemente divulgadas, incluindo uma no daemon **PackageKit** do Linux (**CVE-2026-41651**, também conhecido como Pack2TheRoot) e uma falha de gerenciamento inadequado de privilégios no kernel (**CVE-2026-46333**, também conhecido como ssh-keysign-pwn). Esta última permite que usuários locais não privilegiados leiam segredos de propriedade do root, como chaves privadas SSH. Várias distribuições Linux lançaram avisos para o **CVE-2026-46333**: * [AlmaLinux](https://almalinux.org/blog/2026-05-15-ssh-keysign-pwn-cve-2026-46333/) * [Amazon Linux](https://explore.alas.aws.amazon.com/CVE-2026-46333.html) * [CloudLinux](https://blog.cloudlinux.com/ptrace-exit-race-cve-2026-46333-mitigation-and-kernel-update) * [Fedora](https://bodhi.fedoraproject.org/updates/FEDORA-2026-8b4a8d18d2) * [Gentoo](https://bugs.gentoo.org/show_bug.cgi?id=CVE-2026-46333) * [Red Hat](https://access.redhat.com/security/cve/cve-2026-46333) * [SUSE](https://www.suse.com/security/cve/CVE-2026-46333.html) * [Ubuntu](https://ubuntu.com/blog/ssh-keysign-pwn-linux-vulnerability-fixes-available) ### Proposta de "Killswitch" no Kernel A recente onda de divulgações de vulnerabilidades no kernel impulsionou discussões entre os desenvolvedores do kernel Linux sobre a implementação de um "killswitch" de emergência. Isso permitiria aos administradores desabilitar funções vulneráveis do kernel em tempo de execução até que um patch estivesse disponível. O desenvolvedor do kernel Linux **Sasha Levin** propôs o "killswitch", que permitiria a um operador privilegiado forçar uma função escolhida do kernel a retornar um valor fixo sem executar seu corpo. Isso serviria como uma mitigação temporária para bugs de segurança. ### Repositório de Segurança do Rocky Linux O **Rocky Linux** introduziu um repositório de segurança opcional para entregar correções de segurança urgentes rapidamente, especialmente quando vulnerabilidades são publicamente conhecidas antes que os patches upstream estejam disponíveis. Este repositório está desabilitado por padrão, mantendo o foco da distribuição em estabilidade e compatibilidade upstream. Os administradores podem optar por acessar essas correções aceleradas quando necessário. Este repositório atende a casos específicos onde uma vulnerabilidade significativa é pública, existe código de exploit e os patches upstream ainda não estão disponíveis. Ele não se destina a substituir o processo de lançamento regular.