OVSwrap (CVE-2026-64531)

Análisis

[!WARNING] El PoC se proporciona únicamente para ayudar a defensores, mantenedores y equipos de seguridad autorizados a validar parches, mitigaciones, detecciones y exposición en sistemas que poseen o para los que están explícitamente autorizados a probar.

Usted es el único responsable de garantizar que el uso de este material sea lícito, autorizado, controlado y se lleve a cabo en un entorno de pruebas aislado.

[!WARNING] Este PoC es destructivo. Si tiene éxito, corrompe una credencial activa del kernel, modifica /etc/sudoers.d o /etc/sudoers, abre un shell root y deja procesos desvinculados y estado OVS corrupto en ejecución para evitar un cierre inseguro.

Ejecútelo solo en una VM desechable o en un host de un solo uso. Reiniciar detiene los procesos restantes pero no deshace la modificación de sudoers.

El PoC:

1. bifurca un proceso escritor en el host y luego crea un namespace de usuario/red privado y un datapath OVS
2. envuelve un nla_len de acción anidada generado
3. utiliza acciones OVS falsas para una fuga de puntero del kernel, lectura del kernel y decremento de 32 bits dirigido
4. encuentra el proceso escritor en la memoria del kernel y corrompe su credencial, y
5. le señala que escriba una regla sudo sin contraseña y luego lanza sudo -n bash.

El PoC asume y apunta a x86-64 para mantener las cosas simples. En teoría, el fallo no debería ser específico de la arquitectura.

Requisitos

• Linux x86-64 ejecutando un kernel afectado y sin parchear
• Soporte de datapath del kernel Open vSwitch, integrado o cargable
• Conntrack de OVS, etiquetas de conntrack y el ayudante de conntrack FTP
• Creación de namespaces de usuario y de red sin privilegios (unshare -Urn)
• Carga de módulos permitida si los módulos requeridos no están ya cargados
• Python 3.7+
• sudo, bash, unshare e id
• Se recomiendan 2 GiB+ de RAM

Ejecútelo como un usuario sin privilegios con una entrada passwd.

Uso

python3 ovswrap-poc.py

El PoC intentará automáticamente unshare -Urn y recurrirá a aa-exec -p trinity -- unshare -Urn si AppArmor lo bloquea.

Datos de compilación del kernel

El PoC contiene valores precalculados para ~800 compilaciones exactas de kernel x86-64, coincidentes mediante:

uname -r
uname -v
uname -m

Un registro coincidente no necesita símbolos locales, BTF, paquete de depuración ni pahole. Para una compilación no cubierta, el PoC solicita confirmación e intenta la derivación dinámica a partir de:

• System.map o /proc/kallsyms distinto de cero;
• BTF del kernel/módulos u objetos de kernel sin depurar coincidentes; y
• pahole, que debe estar ya instalado.

El fallo al derivar valores no significa que el kernel no esté afectado, ya que la derivación dinámica puede fallar por varias razones; consulte el análisis para conocer mejores formas de saber si está afectado.