OVSwrap (CVE-2026-64531)

विवरण

[!WARNING] यह PoC केवल रक्षकों, अनुरक्षकों, और अधिकृत सुरक्षा टीमों को उन प्रणालियों पर पैच, शमन उपायों, डिटेक्शन और एक्सपोज़र को सत्यापित करने में मदद करने के लिए प्रदान किया गया है जिनके वे स्वामी हैं या जिनका परीक्षण करने के लिए उन्हें स्पष्ट रूप से अधिकृत किया गया है।

इस सामग्री का आपका उपयोग वैध, अधिकृत, नियंत्रित और एक पृथक परीक्षण वातावरण में किया जाना सुनिश्चित करने की पूरी ज़िम्मेदारी आपकी है।

[!WARNING] यह PoC विनाशकारी है। सफल होने पर यह एक सक्रिय कर्नेल क्रेडेंशियल को दूषित करता है, /etc/sudoers.d या /etc/sudoers को संशोधित करता है, एक रूट शेल खोलता है, और असुरक्षित टियरडाउन से बचने के लिए अलग की गई प्रक्रियाओं और दूषित OVS स्थिति को जीवित छोड़ देता है।

इसे केवल एक डिस्पोज़ेबल VM/त्यागने योग्य होस्ट पर चलाएँ। रीबूट शेष प्रक्रियाओं को रोक देता है लेकिन sudoers संशोधन को पूर्ववत नहीं करता है।

यह PoC:

1. एक होस्ट-पक्ष लेखक प्रक्रिया को फ़ोर्क करता है, फिर एक निजी उपयोगकर्ता/नेटवर्क नेमस्पेस और OVS डेटापाथ बनाता है
2. उत्पन्न नेस्टेड-एक्शन nla_len को लपेटता है
3. कर्नेल-पॉइंटर लीक, कर्नेल रीड, और लक्षित 32-बिट डिक्रीमेंट के लिए नकली OVS एक्शन का उपयोग करता है
4. राइटर प्रक्रिया को कर्नेल मेमोरी में ढूँढता है और उसके क्रेडेंशियल को दूषित करता है, और
5. उसे पासवर्ड-रहित sudo नियम लिखने का संकेत देता है, फिर sudo -n bash लॉन्च करता है।

यह PoC चीज़ों को सरल रखने के लिए x86-64 मानता और लक्षित करता है। सिद्धांत रूप में, यह बग आर्क-विशिष्ट नहीं होना चाहिए।

आवश्यकताएँ

• लिनक्स x86-64 एक प्रभावित, बिना पैच वाले कर्नेल पर चल रहा हो
• Open vSwitch कर्नेल डेटापाथ समर्थन, निर्मित (built in) या लोड करने योग्य
• OVS conntrack, conntrack लेबल, और FTP conntrack हेल्पर
• अविशेषाधिकृत उपयोगकर्ता और नेटवर्क नेमस्पेस निर्माण (unshare -Urn)
• यदि आवश्यक मॉड्यूल पहले से लोड नहीं हैं तो मॉड्यूल लोडिंग की अनुमति हो
• Python 3.7+
• sudo, bash, unshare, और id
• 2 GiB+ RAM अनुशंसित

इसे passwd प्रविष्टि वाले एक अविशेषाधिकृत उपयोगकर्ता के रूप में चलाएँ।

उपयोग

python3 ovswrap-poc.py

PoC स्वचालित रूप से unshare -Urn आज़माएगा और यदि यह AppArmor-अवरुद्ध है तो aa-exec -p trinity -- unshare -Urn पर फ़ॉल बैक करेगा।

कर्नेल-बिल्ड डेटा

PoC में ~800 सटीक x86-64 कर्नेल बिल्ड के लिए पूर्व-व्युत्पन्न मान शामिल हैं, जिन्हें इसका उपयोग करके मिलान किया जाता है:

uname -r
uname -v
uname -m

मिलान रिकॉर्ड को किसी स्थानीय सिंबल, BTF, डिबग पैकेज, या pahole की आवश्यकता नहीं होती है। एक गैर-कवर बिल्ड के लिए, PoC पुष्टि माँगता है और निम्न से गतिशील व्युत्पत्ति का प्रयास करता है:

• System.map या गैर-शून्य /proc/kallsyms;
• कर्नेल/मॉड्यूल BTF या मिलान किए गए बिना स्ट्रिप किए कर्नेल ऑब्जेक्ट; और
• pahole, जो पहले से स्थापित होना चाहिए।

मान व्युत्पन्न करने में विफलता का यह अर्थ नहीं है कि कर्नेल अप्रभावित है, क्योंकि गतिशील व्युत्पत्ति कई कारणों से विफल हो सकती है; आप प्रभावित हैं या नहीं यह जानने के बेहतर तरीकों के लिए विवरण देखें।