Linuxカーネルの脆弱性CVE-2026-31635の攻撃コード公開
The Hacker Newsは2026年5月19日の記事で、Linuxカーネルの権限昇格の攻撃コード「DirtyDecrypt」（別名DirtyCBC）の対象を、NVDのCVE記録にこのコードへのリンクがあることからCVE-2026-31635とした［17］。影響を受けるのは、CONFIG_RXGKを有効にしたFedora・Arch Linux・openSUSE Tumbleweedなどの配布版だけである〔注2〕［17］。
脆弱性の内容
SecurityWeekは、RxGKがAndrew File System（AFS）とOpenAFSの使うRxRPCのセキュリティクラスで、GSSAPIの枠組みで認証・機密性・完全性を提供すると報じた［18］。YFS版のRxGKをrxrpcに加えるパッチは、David Howellsが2025年4月7日にnet-nextへ投稿した［21］。
LinuxカーネルのCNAの2026年4月24日のCVE記録では、rxgk_verify_response()はパケットから読んだauth_lenが残りのバイト数に収まるかを確かめるはずだった［1］。その確認が反転していたため、過大なRESPONSEの認証子が受け入れられ、rxgk_decrypt_skb()に渡されていた［1］。のちに不可能な長さでskb_to_sgvec()に達し、BUG_ON(len)に当たりうる［1］。Red Hatは、この不備でシステムがクラッシュし、事実上のサービス妨害（DoS）になると説明した［5］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS 3.1（Linux CNA） | 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H） | ［10］ |
| CVSS 3.1（Ubuntu・Amazon Linux） | 7.5 | ［4、8］ |
| CVSS 3.1（Red Hat） | 7.8（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H） | ［5］ |
| CVSS 3.1（SUSE） | 5.5（AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H） | ［7］ |
| CVSS 4.0（SUSE） | 6.8 | ［7］ |
| 深刻度の区分 | Ubuntu Medium、Red Hat Moderate、SUSE moderate、Amazon Linux Important | ［4、5、7、8］ |
| CWE（CISA ADP・Red Hat） | CWE-130 | ［1、5］ |
| CWE（NVD） | NVD-CWE-noinfo | ［10］ |
| SSVC（CISA ADP） | Exploitation: poc、Automatable: no、Technical Impact: total | ［1］ |
攻撃コードの説明
The Hacker Newsによると、Zellicの共同創業者はGitHubで共有した説明で、DirtyDecryptを「rxgk_decrypt_skbのCOWガードの欠如によるrxgkのページキャッシュへの書き込み」と述べた［17］。COWガードが無いため、特権プロセスのメモリにデータが書かれる［17］。攻撃の経路によっては/etc/shadow・/etc/sudoers・SUIDバイナリなど特権ファイルのページキャッシュに書かれ、ローカルの権限昇格に至ると報じた［17］。Zellicは、この脆弱性をCopy Fail・Dirty Frag・Fragnesiaの変種と評価した［17］。
SecurityWeekは、V12のチームがCVE番号を示しておらず、CVE-2026-31635の可能性はTharros LabsのWill Dormannが指摘したものだと報じた［18］。
復号を先に行う経路
Delphos Labsは「DirtyCBC」の解説で、LinuxのAF_RXRPCのYFS-RxGKの経路にあるローカルのページキャッシュ汚染を示し、DirtyFragの兄弟にあたるとした［12］。RxGK（AES-256-CTS-HMAC-SHA1）のRESPONSEの経路では、整合性の検証が失敗する前に、復号したバイトがskbのスキャッターリストのページに書き戻される仕組みだった［12］。問題は「先に復号し、後でMACを検証する」順序にあり、ページキャッシュのページを指すskbの断片では、認証に失敗しても書き込みが残る［12］。
Delphos Labsの実証では、読み取れるSUID-rootのバイナリのページキャッシュを汚染して実行し、権限の無いローカル利用者からrootのシェルを得た［12］。ディスク上のファイルは変わらず、汚染は再起動・inodeの無効化・メモリの逼迫や、すべてのマッピングが無くなった後のキャッシュの破棄で消えうる［12］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 「<」を「>」に変える修正がコミットされた | ［13］ |
| 2026年 | - | 同じ修正が再びコミットされた | ［13］ |
| 2026年 | LinuxカーネルのCNA | CVE-2026-31635を公開した | ［1］ |
| 2026年 | - | Red HatのBugzillaにBug 2461567が起票された | ［6］ |
| 2026年 | Zellic・V12 | 脆弱性を見つけて報告し、メンテナからメインラインで修正済みの脆弱性の重複だと伝えられた | ［17］ |
| 2026年 | - | コミットaa54b1d27fe0がLinusのツリーに入った | ［12］ |
| 2026年 | David Howells | v3の修正系列を出した | ［12］ |
| 2026年 | カーネルのセキュリティ調整窓口 | 修正済みであることと公表してよいことを確認した | ［12］ |
| 2026年 | Delphos Labs | DirtyCBCの解説を公開した | ［12］ |
| 2026年 | Will Dormann | DirtyDecryptはCVE-2026-31635かもしれないと投稿し、編集でFedoraとメインラインで再現したと追記した | ［13］ |
| 2026年 | CISA（ADP） | CVE記録の参照にV12の攻撃コードのリポジトリをexploitの印で加えた | ［1］ |
| 2026年 | 香港中文大学 | DirtyDecryptの注意喚起を出した | ［9］ |
| 2026年 | Red Hat | RHEL 10のkernelの修正を出した | ［5］ |
対象の製品と版
LinuxカーネルのCNAは、6.16からの版が影響を受け、それより前の版は影響を受けないとした［1］。修正は6.18系の6.18.23、6.19系の6.19.13と7.0に入った［1］。Will Dormannは、悪用にはCONFIG_RXGKが要り、ほとんどの配布版はこれを出荷していないが、Fedoraと、メインラインのカーネルを動かす配布版は別だと投稿した［14］。The Hacker Newsは、コンテナ環境では脆弱な版のLinuxを動かすワーカーノードが、ポッドから脱出する経路になる可能性があると報じた［17］。
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Debian（bullseye・bookworm・trixie） | 影響なし（Vulnerable code not present） | - | ［3］ |
| Debian（unstable） | 修正 | 6.19.13-1 | ［3］ |
| Ubuntu（25.10 questing） | 修正 | 6.17.0-40.40 | ［4］ |
| Ubuntu（26.10・26.04 LTS・24.04 LTS・22.04 LTS・20.04 LTS・18.04 LTS・16.04 LTS） | 影響なし | - | ［4］ |
| Red Hat（RHEL 10） | 修正 | kernel-0:6.12.0-211.40.1.el10_2（RHSA-2026:47017） | ［5］ |
| Red Hat（RHEL 6〜9） | 影響なし | - | ［5］ |
| SUSE（SUSE Liberty Linux 10） | 修正 | kernel 6.12.0-211.40.1.el10_2以降（RHSA-2026:47017） | ［7］ |
| SUSE（SLE 15 SP7・SLES 16.0・SLE Micro・openSUSE Leap 15.x/16.0ほか） | 影響なし | - | ［7］ |
| Amazon Linux（AL2のkernel、AL2023のkernel・kernel6.12・kernel6.18） | 影響なし | - | ［8］ |
SUSEのCVEのページでは、この脆弱性の全体の状態がResolvedになっている［7］。
悪用の状況
香港中文大学の情報技術サービスセンターは注意喚起で、公開の攻撃コードがあるとして深刻度をHighとし、システムの所有者に即時の緩和策を強く促した［9］。
Security Affairsが引用した攻撃コードの説明によると、V12側はメインラインで修正済みのため公開したとしている［19］。V12は攻撃コードをGitHubのリポジトリpocs/dirtydecryptで公開した［11］。
Kasperskyは2026年第2四半期の脆弱性の概況で、CVE-2026-31635（DirtyDecrypt）をLinuxカーネルの脆弱性として挙げた［16］。復号処理とページキャッシュのデータの変更の扱いに不備があり、ローカルの攻撃者が権限を昇格できるとした［16］。
修正と回避策
LinuxカーネルのCVEチームは、linux-cve-announceにこのCVEの告知を掲載した［2］。CVE記録の説明では、修正はパケットの残りのペイロードを超える認証子の長さを拒否するもので、対象のファイルはnet/rxrpc/rxgk.cである［1］。修正のコミットには、beee051f259a、e2f1a80d8b1e、a2567217ade9が挙がっている［1］。
Delphos Labsによると、コミットaa54b1d27fe0は既知のMSG_SPLICE_PAGESの経路を緩和した〔注1〕［12］。skbがクローン・fraglist・SKBFL_SHARED_FRAGを持つときに、RXRPCのDATA/RESPONSEパケットを複製する形である［12］。David Howellsのv3の修正系列はさらに、RESPONSEの検証で暗号処理の前にパケットの中身を線形のバッファに取り出し、DATAは平らな受信バッファから復号する［12］。
Red Hatは、使いやすさ・適用範囲・安定性の基準を満たす緩和策は無いか、現在の選択肢がその基準を満たさないとした［5］。香港中文大学の注意喚起は、システムの所有者に向けた対策として、次のものを挙げた［9］。
未公表の事項
- Linuxカーネルの開発者側によるDirtyDecryptとCVE-2026-31635の対応づけ
- Delphos LabsのDirtyCBCの解説とCVE-2026-31635との対応
- 実際の攻撃での悪用の有無
- Fedora・Arch Linux・openSUSE Tumbleweedの配布元による修正版の案内
注
出典
当事者
- ［1］The Linux Kernel Organization, Inc.『CVE-2026-31635: rxrpc: fix oversized RESPONSE authenticator length check』（2026年4月24日公開、2026年8月5日更新）
- ［2］The Linux Kernel Organization, Inc.『CVE-2026-31635: rxrpc: fix oversized RESPONSE authenticator length check』（2026年4月24日公開、保存記録のみ） 保存記録
関係組織
- ［3］Debian Project『CVE-2026-31635』（公開日不明、2026年11月7日閲覧）
- ［4］Canonical Ltd.『CVE-2026-31635』（2026年4月24日公開、2026年11月6日更新）
- ［5］Red Hat, Inc.『CVE-2026-31635』（2026年4月24日公開）
- ［6］Red Hat, Inc.『Bug 2461567 - kernel: rxrpc: fix oversized RESPONSE authenticator length check』（2026年4月24日公開、2026年8月26日更新）
- ［7］SUSE LLC『CVE-2026-31635 Common Vulnerabilities and Exposures』（2026年4月24日公開、2026年10月31日更新）
- ［8］Amazon Web Services, Inc.『CVE-2026-31635』（2026年4月24日公開、2026年6月15日更新）
- ［9］The Chinese University of Hong Kong『Linux Kernel Local Privilege Escalation Vulnerability "DirtyDecrypt / DirtyCBC" (CVE-2026-31635)』（2026年5月19日公開）
公的機関
- ［10］National Institute of Standards and Technology『CVE-2026-31635』（2026年4月24日公開、2026年6月17日更新）
調査・観測
- ［11］V12『pocs/dirtydecrypt』（公開日不明、保存記録のみ） 保存記録
- ［12］Delphos Labs『DirtyCBC: When Linux Kernel Decrypt-Before-MAC Turns Authenticated Encryption Into a Page-Cache Write』（2026年5月15日公開、2026年8月11日更新）
- ［13］Will Dormann『DirtyDecrypt, also known as DirtyCBC, is a variant of CopyFail / DirtyFrag / Fragnesia .』（2026年5月17日公開）
- ［14］Will Dormann『Apparently exploitation requires CONFIG_RXGK , which most distros don't ship』（2026年5月17日公開）
- ［16］Kaspersky『Analyzing the vulnerability landscape in Q2 2026』（2026年8月26日公開、2026年8月27日更新）
報道機関
- ［17］The Hacker News『DirtyDecrypt PoC Released for Linux Kernel CVE-2026-31635 LPE Vulnerability』（2026年5月19日公開）
- ［18］SecurityWeek『PoC Released for DirtyDecrypt Linux Kernel Vulnerability』（2026年5月19日公開）
- ［19］Security Affairs『DirtyDecrypt: PoC Released for yet another Linux flaw』（2026年5月20日公開）
背景資料
- ［21］Indiana University『\[PATCH net-next 04/12\] rxrpc: Add YFS RxGK (GSSAPI) security class』（2025年4月7日公開）
更新記録
- 2026年5月21日：公開した。
- 2026年6月15日：Amazon Linuxの6月15日に更新されたCVEのページ（出典8）の評価と対応状況を「脆弱性の内容」「対象の製品と版」に加えた。
- 2026年6月17日：NVDの6月17日に更新された記録（出典10）のCVSSとCWEを「脆弱性の内容」に加えた。
- 2026年7月28日：Red HatがRHEL 10向けに出した修正（出典5）を「時系列」と「対象の製品と版」に加えた。
- 2026年8月5日：8月5日に更新されたCVE記録（出典1）の影響を受ける版と修正のコミットを「対象の製品と版」「修正と回避策」に加えた。
- 2026年8月11日：8月11日に更新されたDelphos Labsの解説（出典12）に合わせ、「修正と回避策」の緩和策と修正系列の記述を改めた。
- 2026年8月26日：Red HatのBugzillaの項目（出典6。8月26日更新）の起票を「時系列」に加えた。
- 2026年8月27日：Kasperskyの2026年第2四半期の脆弱性の概況（出典16。8月26日公開、8月27日更新）を「悪用の状況」に加えた。
- 2026年10月31日：SUSEの10月31日に更新されたCVEのページ（出典7）の評価と対応状況を「脆弱性の内容」「対象の製品と版」に加えた。
- 2026年11月6日：Ubuntuの11月6日に更新されたCVEのページ（出典4）の評価と対応状況を「脆弱性の内容」「対象の製品と版」に加えた。