LinuxのDirtyDecrypt、パッチ済み脆弱性のPoCが公開
Linuxカーネルの権限昇格脆弱性DirtyDecryptに対し、root権限を奪取できる概念実証コード（PoC）が公開された。4月25日に修正済みの脆弱性だが、PoCが出回ったことで未パッチ環境への攻撃リスクが増している。
Linuxカーネルの権限昇格脆弱性DirtyDecryptに対し、root権限を奪取できる概念実証コード（PoC）が公開された。4月25日に修正済みの脆弱性だが、PoCが出回ったことで未パッチ環境への攻撃リスクが増している。
パッチ済みでもPoCが出た意味
DirtyDecryptは、LinuxカーネルのrxgkモジュールのPageキャッシュ書き込みに起因するローカル権限昇格の脆弱性だ。DirtyCBCという別名でも知られる。
rxgkとは、AFS（Andrew File System：分散ネットワークファイルシステム）向けの通信セキュリティ機能で、CONFIG_RXGKというカーネル設定オプションで有効になる。この設定が有効なLinuxディストリビューションでのみ悪用が成立する。
攻撃の条件はある。カーネルにCONFIG_RXGKオプションが有効なこと。主に最新のアップストリームカーネルを追跡するFedora・Arch Linux・openSUSE Tumbleweedが対象となる。
V12セキュリティチームが5月9日に独自発見・報告したところ、メンテナーから「すでにメインラインで修正済みの重複バグ」と通知を受けた。
「5月9日に発見・報告したが、メンテナーからは重複だと知らされた。rxgk_decrypt_skb内のCOWガード欠如によるrxgkのPageキャッシュ書き込みだ」とV12は述べた。
公式のCVEが存在しない事情
この脆弱性に公式のCVE識別子（脆弱性を一意に識別する番号）は割り当てられていない。ただし脆弱性アナリストのウィル・ドーマン氏（Tharros社）は、今回の内容が4月25日にパッチが当たったCVE-2026-31635の詳細と一致すると指摘している。
公式CVEがないままPoCが出回ると、修正の存在を知らないユーザーは対応が遅れるリスクが生じる。「CVEを確認していないから気づかなかった」では、その間に実害が出てしまう。
V12によるPoCはFedoraとメインラインのLinuxカーネルでのみ動作確認されているが、対象環境のユーザーに求められる対応は変わらない。
続く権限昇格の連鎖
ここ数週間、Linux向けの権限昇格脆弱性が相次いでいる。DirtyDecryptもその一つで、Dirty Frag・Fragnesia・Copy Failと同系統の脆弱性クラスに属する。
| Dirty Frag | Fragnesia | Copy Fail | Dirty Decrypt |
|
|---|---|---|---|---|
| 公開日 | 5月8日 | 5月13日 | 4月29日 | 5月18日 |
| CVE | -43284 / -43500 |
-46300 | -31431 | なし |
| パッチ | ✓ | ✓ | ✓ | ✓ (4/25) |
| PoC | あり | あり | あり | あり |
| 野外 悪用 |
— | — | 確認済 | — |
| 影響範囲 | 主要全般 | 主要全般 | 主要全般 | 限定的 |
この背景として見逃せないのがCopy Failの動向だ。CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は5月1日、Copy Fail（CVE-2026-31431）を実際に攻撃で悪用された脆弱性のリストに追加し、連邦政府機関に対して5月15日までにLinux端末を保護するよう指令を出した。
「このタイプの脆弱性は、悪意あるサイバー攻撃者にとって常套的な攻撃経路であり、連邦企業に重大なリスクをもたらす」とCISAは警告した。
Copy Failが実際に悪用されている今、同系統のDirtyDecryptのPoCまで出回っている。攻撃者が使える手が増えた。
今すぐできる対処
DirtyDecryptの影響を受けるディストリビューションのユーザーは、速やかに最新のカーネルアップデートを適用することが推奨されている。
すぐにパッチを当てられない場合の暫定対策は、Dirty Fragで使用された緩和策と同じコマンドで対応できる。ただしこの操作は IPsec VPNとAFS も無効化する点に注意が必要だ。
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"
4月には、PackageKitデーモンに約12年間見過ごされていた別の権限昇格脆弱性（Pack2TheRoot）のパッチも各ディストリビューションが配布した。これだけ短期間に同系統の問題が続くのは、セキュリティ研究者の活動が活発化しているためとみられる。攻撃者も同じ方向に動いている以上、更新を先延ばしにできる状況ではない。
参照元
