OVSwrap (CVE-2026-64531)

Writeup

[!WARNING] يُقدَّم هذا البرهان المفاهيمي (PoC) فقط لمساعدة المدافعين، ومطوّري الصيانة، وفرق الأمن المصرَّح لهم على التحقق من التصحيحات، والتخفيفات، وكشوفات الحماية، ومدى التعرّض على الأنظمة التي يملكونها أو التي صرِّح لهم صراحةً باختبارها.

أنت وحدك المسؤول عن ضمان أن استخدامك لهذه المادة قانوني، ومصرَّح به، ومضبوط، ويتم في بيئة اختبار معزولة.

[!WARNING] هذا البرهان المفاهيمي (PoC) مُدمِّر. عند نجاحه، يُفسد بيانات اعتماد (credential) حيّة في النواة، ويعدّل /etc/sudoers.d أو /etc/sudoers، ويفتح صدفة جذر (root shell)، ويترك عمليات منفصلة وحالة OVS تالفة قيد التشغيل لتجنّب إيقاف تشغيل غير آمن.

شغّله فقط في جهاز افتراضي مُستهلك/مضيف مؤقت. إعادة التشغيل توقف العمليات المتبقية لكنها لا تتراجع عن تعديل sudoers.

يقوم البرهان المفاهيمي بما يلي:

1. يستنسخ عملية كاتبة على الجانب المضيف، ثم ينشئ مساحة أسماء مستخدم/شبكة خاصة ومسار بيانات OVS
2. يغلّف nla_len مولّدًا لإجراءات متداخلة
3. يستخدم إجراءات OVS مزيفة لتسريب مؤشر من النواة، وقراءة من النواة، وإنقاص مستهدف بمقدار 32 بت
4. يجد العملية الكاتبة في ذاكرة النواة ويُفسد بيانات اعتمادها، و
5. يشير إليها لكتابة قاعدة sudo بدون كلمة مرور، ثم يشغّل sudo -n bash.

يفترض البرهان المفاهيمي ويستهدف x86-64 لتبسيط الأمور. نظريًا، لا ينبغي أن تكون الثغرة مقيّدة بمعمارية معيّنة.

المتطلبات

• Linux x86-64 يعمل بنواة متأثرة وغير مُصحَّحة
• دعم Open vSwitch لمسار بيانات النواة (kernel datapath)، مدمجًا أو قابلًا للتحميل
• OVS conntrack، ووسوم conntrack، ومساعد FTP conntrack
• إنشاء مساحات أسماء مستخدم/شبكة غير مميَّزة (unshare -Urn)
• السماح بتحميل الوحدات إذا لم تكن الوحدات المطلوبة محمَّلة بالفعل
• Python 3.7+
• sudo، bash، unshare، وid
• يُنصح بذاكرة 2 غيغابايت أو أكثر

شغّله كمستخدم غير مميَّز مع وجود إدخال passwd له.

الاستخدام

python3 ovswrap-poc.py

سيحاول البرهان المفاهيمي تلقائيًا استخدام unshare -Urn وسيعتمد على aa-exec -p trinity -- unshare -Urn كبديل إذا كان محظورًا بواسطة AppArmor.

بيانات بناء النواة

يحتوي البرهان المفاهيمي على قيم مشتقّة مسبقًا لـ ~800 بناء دقيق لنواة x86-64، تُطابَق باستخدام:

uname -r
uname -v
uname -m

لا يحتاج السجل المطابق إلى رموز محلية، أو BTF، أو حزمة تصحيح (debug package)، أو pahole. بالنسبة لبناء غير مشمول، يطلب البرهان المفاهيمي التأكيد ثم يحاول الاشتقاق الديناميكي من:

• System.map أو /proc/kallsyms غير الصفري؛
• BTF للنواة/الوحدات أو كائنات نواة غير مجرّدة مطابقة؛ و
• pahole، والذي يجب أن يكون مثبَّتًا مسبقًا.

الفشل في اشتقاق القيم لا يعني أن النواة غير متأثرة، إذ يمكن أن يفشل الاشتقاق الديناميكي لعدة أسباب؛ راجع الكتابة الفنية لمعرفة طرق أفضل لتحديد ما إذا كنت متأثرًا.