OVSwrap (CVE-2026-64531)

Analyse

[!WARNING] Der PoC dient ausschließlich dazu, Verteidigern, Maintainern und autorisierten Sicherheitsteams zu helfen, Patches, Mitigationen, Erkennungsregeln und die Gefährdungslage auf Systemen zu validieren, die ihnen gehören oder für die sie ausdrücklich autorisiert wurden, Tests durchzuführen.

Sie sind allein dafür verantwortlich, dass Ihre Nutzung dieses Materials rechtmäßig, autorisiert, kontrolliert und in einer isolierten Testumgebung erfolgt.

[!WARNING] Dieser PoC ist destruktiv. Im Erfolgsfall korrumpiert er ein aktives Kernel-Credential, ändert /etc/sudoers.d oder /etc/sudoers, öffnet eine Root-Shell und lässt abgekoppelte Prozesse und einen beschädigten OVS-Zustand am Leben, um ein unsicheres Aufräumen zu vermeiden.

Führen Sie ihn nur in einer Wegwerf-VM/einem Wegwerf-Host aus. Ein Neustart beendet die verbleibenden Prozesse, macht die sudoers-Änderung jedoch nicht rückgängig.

Der PoC:

1. forkt einen hostseitigen Writer-Prozess und erstellt dann einen privaten User-/Network-Namespace sowie einen OVS-Datapath
2. manipuliert eine generierte nla_len einer verschachtelten Aktion
3. verwendet gefälschte OVS-Aktionen für einen Kernel-Pointer-Leak, einen Kernel-Read und einen gezielten 32-Bit-Dekrement
4. findet den Writer-Prozess im Kernel-Speicher und korrumpiert dessen Credential, und
5. signalisiert ihm, eine passwortlose sudo-Regel zu schreiben, und startet dann sudo -n bash.

Der PoC setzt x86-64 voraus und zielt darauf ab, die Dinge einfach zu halten. Theoretisch sollte der Bug nicht architekturabhängig sein.

Voraussetzungen

• Linux x86-64 mit einem betroffenen, nicht aktualisierten Kernel
• Open-vSwitch-Kernel-Datapath-Unterstützung, eingebaut oder ladbar
• OVS-Conntrack, Conntrack-Labels und der FTP-Conntrack-Helper
• Erstellung unprivilegierter User- und Network-Namespaces (unshare -Urn)
• Modulladen erlaubt, wenn die benötigten Module nicht bereits geladen sind
• Python 3.7+
• sudo, bash, unshare und id
• 2 GiB+ RAM empfohlen

Verwendung

python3 ovswrap-poc.py

Der PoC versucht automatisch unshare -Urn und fällt auf aa-exec -p trinity -- unshare -Urn zurück, wenn es von AppArmor blockiert wird.

Kernel-Build-Daten

Der PoC enthält vorab abgeleitete Werte für ~800 exakte x86-64-Kernel-Builds, abgeglichen anhand:

uname -r
uname -v
uname -m

Ein passender Datensatz benötigt weder lokale Symbole, BTF, Debug-Pakete noch pahole. Für einen nicht abgedeckten Build fragt der PoC nach Bestätigung und versucht eine dynamische Ableitung aus:

• System.map oder ein von Null verschiedenes /proc/kallsyms;
• Kernel-/Modul-BTF oder passende ungestrippte Kernel-Objekte; und
• pahole, das bereits installiert sein muss.

Wenn die Werte nicht abgeleitet werden können, bedeutet das nicht, dass der Kernel nicht betroffen ist, da die dynamische Ableitung aus mehreren Gründen fehlschlagen kann; siehe die Analyse für bessere Möglichkeiten, um festzustellen, ob Sie betroffen sind.