CVE-2026-64531 — OVSwrap

PoC d'élévation de privilèges locale (utilisateur normal → root) dans le module Open vSwitch du noyau Linux. Exploite le dépassement d'entier (wrap-around) du champ nla_len de 16 bits pour passer d'utilisateur normal à root.

Résumé de la vulnérabilité

Lorsque le flux d'actions imbriquées généré par OVS dépasse 65 535 octets, le champ nla_len de 16 bits subit un dépassement (wrap-around). Un attaquant n'ayant besoin que de CAP_NET_ADMIN dans un espace de noms utilisateur/réseau privé peut construire une action CLONE surdimensionnée, faisant tomber le parseur du noyau sur des données conntrack contrôlées par l'attaquant, obtenant ainsi des primitives de lecture arbitraire du noyau et de décrémentation mot à mot, pour finalement modifier ses propres identifiants et s'élever à root.

Ce bug provient d'une affectation non sûre vieille de 13 ans (commit 74f84a5726c7), auparavant protégée par une limite de longueur totale de 32 Kio; il a été activé en mars 2025 lorsque le commit a1e64addf3ff a supprimé cette limite.

• Identifiant de la vulnérabilité : CVE-2026-64531
• Type : Élévation de privilèges locale (LPE)
• Composant affecté : module openvswitch du noyau Linux
• Prérequis : utilisateur normal + unshare -Urn (aucun privilège d'espace de noms initial requis)

Versions affectées / corrigées

Les séries 6.13–6.17, 6.19 et 7.0 sont en fin de vie (EOL), sans correctif.

Prérequis d'exécution

• Linux x86-64, exécutant un noyau affecté/non corrigé
• Prise en charge du conntrack OVS + helper conntrack FTP
• Espaces de noms utilisateur non privilégiés disponibles (unshare -Urn), sudo installé
• Python 3.7+
• 2 GiB+ de mémoire recommandés

Utilisation

# 必须以普通(非 root)用户运行
python3 ovswrap-poc.py

Le script effectue automatiquement unshare -Urn pour entrer dans un espace de noms utilisateur+réseau privé; il intègre une table de décalages précalculés pour environ 800 versions du noyau x86-64. En cas d'absence de correspondance, il tente de les dériver dynamiquement à partir de System.map / BTF / pahole. En cas de succès, il obtient un shell root sans mot de passe en écrivant une entrée dans /etc/sudoers.d/.

⚠️ Avertissement

Réservé à la recherche en sécurité, à la validation de vulnérabilités et aux tests défensifs. Ce PoC corrompt les identifiants du noyau, modifie les fichiers sudoers, laisse des processus zombies et un état OVS corrompu. Exécutez-le impérativement dans une machine virtuelle jetable, et non en production ou dans un environnement non autorisé.

Attribution et références

• PoC original : manizada/OVSwrap (GPL-2.0), ce dépôt est un miroir de distribution
• Analyse technique : https://heyitsas.im/posts/ovswrap/
• Commit de correctif : 3f1f755366687d051174739fb99f7d560202f60b