OVSwrap (CVE-2026-64531)

Analyse

[!WARNING] La preuve de concept est fournie uniquement pour aider les défenseurs, les mainteneurs et les équipes de sécurité autorisées à valider les correctifs, les atténuations, les détections et l'exposition sur les systèmes qui leur appartiennent ou qu'elles sont explicitement autorisées à tester.

Vous êtes seul responsable de veiller à ce que votre utilisation de ce matériel soit légale, autorisée, contrôlée et effectuée dans un environnement de test isolé.

[!WARNING] Cette preuve de concept est destructrice. En cas de succès, elle corrompt une information d'identification du noyau en mémoire, modifie /etc/sudoers.d ou /etc/sudoers, ouvre un shell root et laisse des processus détachés et un état OVS corrompu actifs pour éviter un arrêt dangereux.

Exécutez-la uniquement dans une VM jetable ou un hôte jetable. Un redémarrage arrête les processus restants mais n'annule pas la modification de sudoers.

La preuve de concept :

1. crée un processus écrivain côté hôte, puis crée un espace de noms utilisateur/réseau privé et un datapath OVS
2. enveloppe un nla_len d'action imbriquée généré
3. utilise de fausses actions OVS pour une fuite de pointeur noyau, une lecture noyau et une décrémentation 32 bits ciblée
4. localise le processus écrivain dans la mémoire du noyau et corrompt ses identifiants, puis
5. lui signale d'écrire une règle sudo sans mot de passe, puis lance sudo -n bash.

La preuve de concept suppose et cible x86-64 pour simplifier. En théorie, le bug ne devrait pas être spécifique à une architecture.

Prérequis

• Linux x86-64 exécutant un noyau affecté et non corrigé
• Prise en charge du datapath noyau Open vSwitch, intégré ou chargeable
• Conntrack OVS, étiquettes conntrack et helper conntrack FTP
• Création d'espaces de noms utilisateur et réseau non privilégiés (unshare -Urn)
• Chargement de modules autorisé si les modules requis ne sont pas déjà chargés
• Python 3.7+
• sudo, bash, unshare et id
• 2 GiB+ de RAM recommandés

Exécutez-le en tant qu'utilisateur non privilégié avec une entrée passwd.

Utilisation

python3 ovswrap-poc.py

La preuve de concept essaiera automatiquement unshare -Urn et utilisera en repli aa-exec -p trinity -- unshare -Urn si elle est bloquée par AppArmor.

Données de compilation du noyau

La preuve de concept contient des valeurs précalculées pour ~800 builds x86-64 exacts du noyau, correspondant à l'aide de :

uname -r
uname -v
uname -m

Un enregistrement correspondant ne nécessite ni symboles locaux, ni BTF, ni package de débogage, ni pahole. Pour une compilation non couverte, la preuve de concept demande confirmation et tente une dérivation dynamique à partir de :

• System.map ou /proc/kallsyms non nul ;
• BTF du noyau/module ou objets noyau non strippés correspondants ; et
• pahole, qui doit déjà être installé.

L'échec de la dérivation des valeurs ne signifie pas que le noyau n'est pas affecté, car la dérivation dynamique peut échouer pour plusieurs raisons ; consultez l'analyse pour de meilleurs moyens de déterminer si vous êtes affecté.