CVE-2026-64531 — OVSwrap

PoC für lokale Rechteausweitung (normaler Benutzer → root) im Open vSwitch-Modul des Linux-Kernels. Nutzt den Integer-Wraparound des 16-Bit-nla_len-Felds aus, um von einem normalen Benutzer bis hin zu root zu gelangen.

Kurzbeschreibung der Schwachstelle

Wenn der von OVS erzeugte verschachtelte Action-Stream 65.535 Bytes überschreitet, läuft das 16-Bit-nla_len-Feld über. Ein Angreifer benötigt lediglich CAP_NET_ADMIN in einem privaten Benutzer-/Netzwerk-Namespace, um eine überlange CLONE-Action zu konstruieren, die den Kernel-Parser in vom Angreifer kontrollierte Conntrack-Daten zwingt. Dadurch erlangt er beliebige Kernel-Lesevorgänge und eine Wort-für-Wort-Dekrementierungs-Primitive, um schließlich die eigenen Anmeldeinformationen zu manipulieren und zu root zu gelangen.

Der Bug geht auf eine 13 Jahre alte unsichere Zuweisung zurück (Commit 74f84a5726c7), die zuvor durch ein Gesamtlängenlimit von 32 KiB geschützt war; aktiviert wurde er, nachdem Commit a1e64addf3ff im März 2025 das Limit entfernte.

• Schwachstellenkennung: CVE-2026-64531
• Typ: Lokale Rechteausweitung (LPE)
• Betroffene Komponente: openvswitch-Modul des Linux-Kernels
• Voraussetzung zur Auslösung: normaler Benutzer + unshare -Urn (keine Berechtigung im initialen Namespace erforderlich)

Betroffene / gepatchte Versionen

Die Serien 6.13–6.17, 6.19 und 7.0 sind bereits EOL und erhalten keinen Fix.

Systemanforderungen

• Linux x86-64 mit betroffenem/ungepatchtem Kernel
• OVS-Conntrack-Unterstützung + FTP-Conntrack-Helper
• Nichtprivilegierte Benutzer-Namespaces verfügbar (unshare -Urn), sudo installiert
• Python 3.7+
• 2 GiB+ RAM empfohlen

Verwendung

# 必须以普通(非 root)用户运行
python3 ovswrap-poc.py

Das Skript wechselt automatisch per unshare -Urn in einen privaten Benutzer- und Netzwerk-Namespace; es enthält eine vorab berechnete Offsets-Tabelle für etwa 800 x86-64-Kernel-Builds und versucht bei fehlender Übereinstimmung, die Offsets dynamisch aus System.map / BTF / pahole abzuleiten. Nach Erfolg erhält es durch einen Eintrag in /etc/sudoers.d/ eine passwortlose Root-Shell.

⚠️ Haftungsausschluss

Nur für Sicherheitsforschung, Schwachstellenverifikation und defensive Tests gedacht. Dieses PoC beschädigt Kernel-Anmeldeinformationen, verändert die sudoers-Datei und hinterlässt Zombie-Prozesse sowie einen beschädigten OVS-Zustand. Führen Sie es daher unbedingt in einer wegwerfbaren virtuellen Maschine aus und nicht in Produktions- oder unbefugten Umgebungen.

Credits und Referenzen

• Original-PoC: manizada/OVSwrap (GPL-2.0), dieses Repository ist ein Verteilungs-Mirror
• Technische Analyse: https://heyitsas.im/posts/ovswrap/
• Fix-Commit: 3f1f755366687d051174739fb99f7d560202f60b