{"id":917,"date":"2026-05-19T15:51:45","date_gmt":"2026-05-19T15:51:45","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/19\/poc-de-dirtydecrypt-lanzado-para-la-vulnerabilidad-lpe-cve-2026-31635-del-kernel-de-linux-cyberdefensa-mx\/"},"modified":"2026-05-19T15:51:45","modified_gmt":"2026-05-19T15:51:45","slug":"poc-de-dirtydecrypt-lanzado-para-la-vulnerabilidad-lpe-cve-2026-31635-del-kernel-de-linux-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/19\/poc-de-dirtydecrypt-lanzado-para-la-vulnerabilidad-lpe-cve-2026-31635-del-kernel-de-linux-cyberdefensa-mx\/","title":{"rendered":"PoC de DirtyDecrypt lanzado para la vulnerabilidad LPE CVE-2026-31635 del kernel de Linux \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Se ha publicado un c\u00f3digo de explotaci\u00f3n de prueba de concepto (PoC) para una falla de seguridad recientemente reparada en el kernel de Linux que podr\u00eda permitir la escalada de privilegios locales (LPE).<\/p>\n

Apodado suciodescifrar<\/strong> (tambi\u00e9n conocido como DirtyCBC), la vulnerabilidad fue descubierta e informada por el equipo de seguridad de Zellic y V12 el 9 de mayo de 2026, solo para que los mantenedores les informaran que era un duplicado de una vulnerabilidad que ya hab\u00eda sido parcheada en la l\u00ednea principal.<\/p>\n

\u00abEs una escritura de cach\u00e9 de p\u00e1gina rxgk debido a que falta VACA<\/a> [copy-on-write] guardia en rxgk_decrypt_skb\u00bb, cofundador de Zellic, Luna Tong (tambi\u00e9n conocido como cts y gf_256) dicho<\/a> en una descripci\u00f3n compartida en GitHub.<\/p>\n

Aunque el identificador CVE no fue revelado, la vulnerabilidad en cuesti\u00f3n es CVE-2026-31635<\/a> (Puntuaci\u00f3n CVSS: 7,5) basado en el hecho de que la Base de datos nacional de vulnerabilidades (NVD) del NIST incluye un enlace al PoC de DirtyDecrypt en su registro CVE.<\/p>\n

\u00abLa falla espec\u00edfica se encuentra en rxgk_decrypt_skb(), la funci\u00f3n que descifra un sk_buff (b\u00fafer de socket) entrante en el lado de recepci\u00f3n\u00bb, Moselwal dicho<\/a>.<\/p>\n

\u00abEn esta ruta de c\u00f3digo, el kernel maneja p\u00e1ginas de memoria que se comparten parcialmente con el cach\u00e9 de p\u00e1ginas de otros procesos \u2013 una optimizaci\u00f3n normal de Linux protegida por copia en escritura: tan pronto como ocurre una escritura en una p\u00e1gina compartida, se hace una copia privada de antemano para que la escritura no se filtre en los datos de otro proceso\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La ausencia de esta protecci\u00f3n COW en rxgk_decrypt_skb significa que los datos se escriben en la memoria de procesos privilegiados o, dependiendo de la ruta del exploit, en la p\u00e1gina cach\u00e9 de archivos privilegiados, como etc\/shadow, \/etc\/sudoers o un binario SUID, lo que lleva a una escalada de privilegios local.<\/p>\n

DirtyDecrypt afecta solo a las distribuciones con CONFIG_RXGK<\/a> habilitados, como Fedora, Arch Linux y openSUSE Tumbleweed. En entornos en contenedores, los nodos trabajadores que ejecutan una versi\u00f3n vulnerable de Linux podr\u00edan proporcionar una v\u00eda para escapar del pod.<\/p>\n

Se considera que la vulnerabilidad, seg\u00fan Zellic, es una variante de Copy Fail (CVE-2026-31431), Dirty Frag tambi\u00e9n conocido como Copy Fail 2 (CVE-2026-43284 y CVE-2026-43500) y Fragnesia (CVE-2026-46300), todos los cuales otorgan acceso de root en sistemas vulnerables.<\/p>\n

Copia fallida<\/a>una falla de escalada de privilegios local en la interfaz de socket criptogr\u00e1fico AF_ALG, fue revelada por investigadores de Theori el 29 de abril de 2026. Fue seguida por Fragmento sucio<\/a> una semana despu\u00e9s. Dirty Frag ampl\u00eda Copy Fail con dos primitivas de escritura de cach\u00e9 de p\u00e1gina.<\/p>\n

Sin embargo, el investigador de seguridad Hyunwoo Kim se vio obligado a seguir adelante con la divulgaci\u00f3n p\u00fablica despu\u00e9s de que la ventana de embargo acordada terminara prematuramente cuando un parche fusionado para CVE-2026-43284 el 5 de mayo llev\u00f3 a otro investigador, que desconoc\u00eda el embargo, a analizar y publicar detalles de forma independiente<\/a> del defecto.<\/p>\n

\u00abLe\u00ed la confirmaci\u00f3n, reconoc\u00ed la ruta xfrm ESP-in-UDP MSG_SPLICE_PAGES sin COW contra p\u00e1ginas de canalizaci\u00f3n compartidas como una primitiva LPE y constru\u00ed una PoC\u00bb, el investigador, que utiliza los alias en l\u00ednea 0xdeadbeefnetwork y afflicted.sh, anotado<\/a>. \u00abEl trabajo es un armamento de n d\u00edas a partir de un compromiso p\u00fablico ascendente, que es una pr\u00e1ctica est\u00e1ndar una vez que una soluci\u00f3n relevante para la seguridad llega a un \u00e1rbol p\u00fablico\u00bb.<\/p>\n

Fragnesia es otra variante de Dirty Frag e impacta el subsistema XFRM ESP-in-TCP. Pero el resultado es el mismo: permite a atacantes locales sin privilegios modificar el contenido de archivos de s\u00f3lo lectura en la cach\u00e9 de la p\u00e1gina del n\u00facleo y obtener privilegios de root.<\/p>\n

El desarrollo coincide con el descubrimiento de una falla LPE en Linux PaqueteKit<\/a> demonio (CVE-2026-41651<\/a> tambi\u00e9n conocido como Pack2TheRoot, puntuaci\u00f3n CVSS: 8.8) y una falla de administraci\u00f3n de privilegios inadecuada en el kernel (CVE-2026-46333<\/a> alias ssh-keysign-pwn<\/a>puntuaci\u00f3n CVSS: 5,5), que permite a un usuario local sin privilegios leer secretos de propiedad ra\u00edz, como claves privadas SSH.<\/p>\n

Varias distribuciones de Linux han publicado avisos para CVE-2026-46333 \u2013<\/p>\n

\u00bfKillswitch del n\u00facleo?<\/h3>\n

La avalancha de nuevas revelaciones en un lapso de unas pocas semanas ha llevado a los desarrolladores del kernel de Linux a revisar una propuesta para un \u00abinterruptor de emergencia\u00bb que permitir\u00eda a los administradores desactivar funciones vulnerables del kernel en tiempo de ejecuci\u00f3n hasta que est\u00e9 disponible un parche para una vulnerabilidad de d\u00eda cero.<\/p>\n

\u00abKillswitch permite a un operador privilegiado hacer que una funci\u00f3n del n\u00facleo elegida devuelva un valor fijo sin ejecutar su cuerpo, como una mitigaci\u00f3n temporal de un error de seguridad mientras se prepara una soluci\u00f3n real\u00bb, seg\u00fan un propuesta<\/a> presentado por el desarrollador y mantenedor del kernel de Linux Sasha Levin.<\/p>\n

\u00abLa funci\u00f3n devuelve el valor proporcionado por el operador y no se ejecuta nada m\u00e1s en su lugar. No hay una lista de permitidos, ni una verificaci\u00f3n de tipo de retorno; si la capa kprobe acepta el s\u00edmbolo, killswitch lo activa. Una vez activado, el cambio tiene efecto en cada CPU hasta que se escribe \u00abdisengage\u00ab o el sistema se reinicia\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Rocky Linux estrena repositorio de seguridad<\/h3>\n

Rocky Linux, por su parte, ha introducido una opci\u00f3n opcional. repositorio de seguridad<\/a> eso permite que la distribuci\u00f3n env\u00ede correcciones de seguridad urgentes r\u00e1pidamente, particularmente en escenarios donde las vulnerabilidades graves se vuelven de conocimiento p\u00fablico antes de que lleguen las correcciones coordinadas.<\/p>\n

\u00abEl repositorio est\u00e1 deshabilitado de forma predeterminada. Eso es intencional\u00bb, dijeron los mantenedores. dicho<\/a>. \u00abLa experiencia predeterminada de Rocky Linux sigue siendo exactamente la que siempre ha sido: predecible, estable y totalmente compatible con las versiones anteriores. Los administradores que deseen acceder a correcciones aceleradas pueden optar por participar cuando lo necesiten\u00bb.<\/p>\n

El repositorio de seguridad atiende espec\u00edficamente a casos \u00abespec\u00edficos y limitados\u00bb en los que una vulnerabilidad significativa es p\u00fablica, existe un c\u00f3digo de explotaci\u00f3n y los parches ascendentes a\u00fan no est\u00e1n disponibles. Rocky Linux ha enfatizado que no reemplaza el proceso de lanzamiento regular.<\/p>\n

\u00abSi implementamos una soluci\u00f3n y el desarrollador decide no solucionarlo, la pr\u00f3xima versi\u00f3n del kernel reemplazar\u00e1 nuestra versi\u00f3n parcheada\u00bb, agregaron los mantenedores. \u00abLos usuarios que no hayan bloqueado la versi\u00f3n de su kernel, en ese momento, ya no tendr\u00e1n nuestra soluci\u00f3n. \u00c9sa es la compensaci\u00f3n que aceptamos al construir esto\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Se ha publicado un c\u00f3digo de explotaci\u00f3n de prueba de concepto (PoC) para una falla de seguridad recientemente reparada en el kernel de Linux que podr\u00eda permitir la escalada de privilegios locales (LPE). Apodado suciodescifrar (tambi\u00e9n conocido como DirtyCBC), la vulnerabilidad fue descubierta e informada por el equipo de seguridad de Zellic y V12 el […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2620,24,70,2619,2364,1478,15,2361,36,2618,313],"class_list":["post-917","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-cve202631635","tag-cyberdefensa-mx","tag-del","tag-dirtydecrypt","tag-kernel","tag-lanzado","tag-linux","tag-lpe","tag-para","tag-poc","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/917","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=917"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/917\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=917"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=917"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=917"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}