CVE-2026-64531 — OVSwrap

PoC de escalada de privilegios local (usuario normal → root) del módulo Open vSwitch del kernel de Linux. Aprovecha un desbordamiento de enteros en el campo nla_len de 16 bits para escalar de usuario normal hasta root.

Resumen de la vulnerabilidad

Cuando el flujo de acciones anidadas generado por OVS supera los 65535 bytes, el campo nla_len de 16 bits se desborda. El atacante solo necesita tener CAP_NET_ADMIN dentro de un namespace privado de usuario/red para construir una acción CLONE de longitud excesiva, haciendo que el analizador del kernel caiga en datos de conntrack controlados por el atacante, obteniendo así lectura arbitraria del kernel y primitivas de decremento palabra a palabra, con las que finalmente altera sus propias credenciales y escala a root.

El bug se origina en una asignación insegura que lleva 13 años presente (commit 74f84a5726c7), anteriormente protegida por un límite de longitud total de 32 KiB; fue activada en marzo de 2025 cuando el commit a1e64addf3ff eliminó dicho límite.

• Identificador: CVE-2026-64531
• Tipo: Escalada de privilegios local (LPE)
• Componente afectado: módulo openvswitch del kernel de Linux
• Prerrequisito de activación: usuario normal + unshare -Urn (sin necesidad de privilegios iniciales en el namespace)

Versiones afectadas / corregidas

Las series 6.13–6.17, 6.19 y 7.0 ya están EOL, sin corrección.

Requisitos de ejecución

• Linux x86-64, ejecutando un kernel afectado/sin parchear
• Soporte de conntrack de OVS + helper FTP de conntrack
• Namespaces de usuario no privilegiados disponibles (unshare -Urn), sudo instalado
• Python 3.7+
• Se recomiendan 2 GiB+ de RAM

Uso

# Debe ejecutarse como usuario normal (no root)
python3 ovswrap-poc.py

El script ejecuta automáticamente unshare -Urn para entrar en un namespace privado de usuario y de red; incorpora una tabla de offsets precalculados para unos 800 builds del kernel x86-64 y, si no hay coincidencia, intenta derivarlos dinámicamente desde System.map / BTF / pahole. Tras el éxito, escribe una entrada en /etc/sudoers.d/ para obtener una shell root sin contraseña.

⚠️ Descargo de responsabilidad

Solo para investigación de seguridad, verificación de vulnerabilidades y pruebas defensivas. Este PoC corrompe las credenciales del kernel, modifica archivos de sudoers, deja procesos zombis y un estado de OVS dañado; ejecútalo únicamente en una máquina virtual desechable. No lo ejecutes en entornos de producción ni no autorizados.

Autoría y referencias

• PoC original: manizada/OVSwrap (GPL-2.0); este repositorio es un espejo de distribución
• Análisis técnico: https://heyitsas.im/posts/ovswrap/
• Commit de corrección: 3f1f755366687d051174739fb99f7d560202f60b