PoC pubblici per PinTheft e DirtyDecrypt espongono Linux a escalation root

Due exploit proof-of-concept pubblici sono stati rilasciati nelle ultime ore per PinTheft e DirtyDecrypt, due vulnerabilità di local privilege escalation nel kernel Linux che permettono a utenti non privilegiati di ottenere accesso root completo. PinTheft sfrutta un double-free nel percorso di invio RDS zerocopy, mentre DirtyDecrypt (CVE-2026-31635) abusa della mancata protezione Copy-on-Write nella funzione rxgk_decrypt_skb. Arch Linux risulta particolarmente esposto in entrambi i casi perché il modulo RDS è abilitato di default e molte distribuzioni mantengono CONFIG_RXGK attivo nel kernel. I ricercatori di V12 Security e Zellic hanno pubblicato i PoC su GitHub, rendendo immediato il rischio per server, workstation e ambienti containerizzati. Gli amministratori devono aggiornare immediatamente il kernel oppure applicare le mitigazioni temporanee disponibili per evitare escalation locali che compromettono completamente il sistema operativo. Le due vulnerabilità arrivano in rapida successione e si inseriscono in una lunga serie di flaw LPE che colpiscono page cache, sottosistemi di networking e percorsi zerocopy del kernel Linux moderno.

PinTheft sfrutta un double-free nel modulo RDS per ottenere root

PinTheft colpisce il percorso di invio RDS zerocopy attraverso la funzione rds_message_zcopy_from_user(). Il meccanismo pinna le pagine utente una alla volta utilizzando reference FOLL_PIN. Quando una pagina successiva genera un page fault, il percorso di errore rilascia immediatamente le pagine già pinnate. Il problema nasce perché la successiva fase di pulizia del messaggio RDS tenta di rilasciare nuovamente le stesse pagine dato che le entry dello scatterlist e il relativo conteggio restano attivi dopo la cancellazione del notifier zerocopy. Questo comportamento genera un double-free sfruttabile che permette all’attaccante di “rubare” reference FOLL_PIN fino a lasciare io_uring con un page pointer corrotto. L’exploit trasforma successivamente il difetto in un overwrite del page cache ottenendo infine una shell root completa sul sistema. Il PoC pubblicato da V12 Security funziona su architetture x86_64 e richiede soltanto il modulo RDS caricato, io_uring abilitato e un binario SUID-root leggibile. Tra le distribuzioni testate, soltanto Arch Linux abilita RDS di default rendendolo il bersaglio più immediato per attacchi reali. La vulnerabilità è stata corretta upstream all’inizio di maggio 2026 ma i sistemi non aggiornati restano completamente esposti.

DirtyDecrypt modifica direttamente il page cache del kernel Linux

DirtyDecrypt (CVE-2026-31635) deriva invece dalla mancata protezione Copy-on-Write nella funzione rxgk_decrypt_skb(). Il bug permette di decrittare socket buffer in ingresso scrivendo direttamente su pagine condivise con il page cache di altri processi senza creare una copia privata dei dati. Questo comportamento consente a un attaccante locale di modificare file read-only direttamente nella cache del kernel, inclusi file critici come /etc/shadow, /etc/sudoers o binari SUID. Il risultato finale è una privilege escalation immediata fino ai privilegi root. Il proof-of-concept sviluppato da Zellic e V12 Security è già disponibile pubblicamente su GitHub e rappresenta una variante evoluta di exploit precedenti come Copy Fail, Dirty Frag e Fragnesia, tutte tecniche basate su scritture page-cache senza meccanismi COW corretti nei sottosistemi di networking e crittografia del kernel Linux. DirtyDecrypt colpisce kernel compilati con CONFIG_RXGK attivo, configurazione presente di default su Fedora, Arch Linux e openSUSE Tumbleweed. Negli ambienti containerizzati il difetto consente anche escape dal pod verso il nodo host vulnerabile, ampliando notevolmente il rischio nei cluster Kubernetes e nelle infrastrutture cloud-native.

I PoC pubblici aumentano il rischio immediato per server e container

Entrambe le vulnerabilità richiedono soltanto accesso locale e non necessitano privilegi elevati iniziali. Questo rende particolarmente pericolosi i sistemi multiutente, le workstation condivise e gli ambienti containerizzati dove utenti non privilegiati possono ottenere una shell limitata sul nodo. In presenza dei PoC pubblici, un semplice accesso shell temporaneo diventa sufficiente per compromettere completamente il sistema operativo. Su server esposti, un attaccante che ottiene accesso limitato tramite vulnerabilità web o credenziali rubate può utilizzare immediatamente PinTheft o DirtyDecrypt per elevare i privilegi a root. Negli ambienti desktop, malware o utenti malevoli possono sfruttare gli exploit per bypassare completamente le protezioni del sistema. In ambito container, DirtyDecrypt rappresenta un rischio particolarmente elevato perché facilita escape dal pod verso il nodo worker vulnerabile. Arch Linux risulta esposto su entrambi i fronti grazie alla presenza predefinita di RDS e CONFIG_RXGK, mentre Fedora e openSUSE Tumbleweed risultano vulnerabili principalmente a DirtyDecrypt. Il rilascio simultaneo dei PoC aumenta sensibilmente la probabilità di sfruttamento reale da parte di attaccanti opportunistici e gruppi cybercriminali.

PinTheft colpisce il page cache attraverso io_uring e FOLL_PIN

Dal punto di vista tecnico, PinTheft rappresenta una delle exploit chain più interessanti tra le recenti vulnerabilità Linux. L’attacco sfrutta il comportamento del page pinning introdotto da FOLL_PIN e il modo in cui il kernel gestisce le operazioni zerocopy nel sottosistema RDS. Ogni invio zerocopy fallito produce infatti un leak delle reference pinnate che può essere manipolato fino a ottenere un overwrite controllato del page cache. L’utilizzo di io_uring fixed buffers consente poi all’attaccante di trasformare il difetto in un primitive di scrittura arbitraria sulla memoria del kernel. Gli sviluppatori di V12 Security hanno dimostrato come sia possibile utilizzare questo meccanismo per alterare contenuti critici e ottenere rapidamente una shell root persistente. Il fatto che il modulo RDS sia raramente utilizzato nella maggior parte degli ambienti enterprise rende ancora più critica la scelta di mantenerlo abilitato di default in alcune distribuzioni. Gli esperti raccomandano quindi di verificare immediatamente la presenza del modulo e disabilitarlo completamente nei sistemi che non ne fanno uso operativo diretto.

DirtyDecrypt continua la serie di exploit basati su page-cache overwrite

DirtyDecrypt si inserisce invece in una lunga linea evolutiva di exploit Linux basati sul page cache overwrite. La vulnerabilità è esplicitamente collegata a tecniche precedenti come Copy Fail (CVE-2026-31431), Dirty Frag (CVE-2026-43284 e CVE-2026-43500) e Fragnesia (CVE-2026-46300). Tutte queste vulnerabilità sfruttano percorsi di scrittura kernel che non rispettano correttamente il modello Copy-on-Write, consentendo modifiche persistenti ai dati condivisi nel page cache. Nel caso di DirtyDecrypt il problema nasce nel percorso di decrypt dei pacchetti rxgk dove il kernel modifica pagine condivise senza creare copie private isolate. Gli attaccanti possono così alterare direttamente file protetti nella cache senza scrivere fisicamente sul disco. Questo approccio rende gli exploit estremamente veloci, difficili da rilevare e particolarmente efficaci nei sistemi Linux moderni. Il lavoro di ricerca condotto da V12 Security e Zellic dimostra inoltre quanto i percorsi networking e zerocopy del kernel restino superfici di attacco altamente complesse e difficili da proteggere completamente.

Gli amministratori devono aggiornare subito il kernel Linux

Le patch upstream per entrambe le vulnerabilità risultano già integrate nel mainline kernel Linux dall’inizio di maggio 2026. Tuttavia molte distribuzioni stanno ancora propagando gli aggiornamenti agli utenti finali. Gli amministratori devono verificare immediatamente la presenza dei moduli vulnerabili e aggiornare i kernel dei sistemi esposti il prima possibile. Per PinTheft esiste una mitigazione temporanea relativamente semplice che consiste nella completa disabilitazione dei moduli RDS attraverso il comando rmmod rds_tcp rds e la creazione di una configurazione persistente in /etc/modprobe.d/pintheft.conf. Questa soluzione blocca completamente l’exploitation senza necessità di riavvio immediato del sistema. Per DirtyDecrypt non esiste invece una mitigazione altrettanto semplice oltre all’aggiornamento del kernel. Nei sistemi dove CONFIG_RXGK viene compilato come modulo separato è possibile ridurre la superficie d’attacco disabilitandolo temporaneamente. Gli esperti consigliano inoltre di mantenere sempre attivi SELinux o AppArmor per limitare l’impatto anche in caso di privilege escalation riuscita. In ambienti Kubernetes o cloud-native diventa fondamentale isolare attentamente i nodi worker e monitorare eventuali anomalie nei container.

La diffusione dei PoC rende PinTheft e DirtyDecrypt una minaccia attiva

La disponibilità pubblica dei PoC su GitHub trasforma immediatamente PinTheft e DirtyDecrypt in minacce concrete per qualsiasi sistema Linux non aggiornato. I ricercatori di V12 Security e Zellic hanno pubblicato i codici dopo la disponibilità delle patch upstream seguendo un modello di divulgazione responsabile ma mantenendo comunque accessibili exploit funzionanti completi. Questo approccio accelera la consapevolezza degli amministratori ma aumenta inevitabilmente anche il rischio di sfruttamento da parte di attaccanti reali. Organizzazioni che gestiscono server Linux, workstation aziendali o infrastrutture containerizzate devono trattare immediatamente questi PoC come minaccia attiva. La combinazione tra exploit pubblici, vulnerabilità kernel e accesso locale minimo crea infatti uno scenario estremamente favorevole per privilege escalation rapide e compromissioni persistenti. PinTheft e DirtyDecrypt dimostrano ancora una volta quanto sia difficile mantenere sicura la superficie di attacco del kernel Linux moderno, soprattutto nei percorsi legati a networking avanzato, zerocopy e page cache condiviso.