CVE-2026-64531 — OVSwrap

PoC di escalation dei privilegi locali (utente normale → root) nel modulo Open vSwitch del kernel Linux. Sfrutta il wrap-around intero del campo nla_len a 16 bit per passare da utente normale a root.

Sintesi della vulnerabilità

Quando il flusso di action nidificate generato da OVS supera i 65535 byte, il campo nla_len a 16 bit va in wrap-around. Un attaccante, con la sola CAP_NET_ADMIN all'interno di un namespace utente/rete privato, può costruire una action CLONE eccessivamente lunga, facendo ricadere il parser del kernel nei dati conntrack controllati dall'attaccante e ottenendo così primitive di lettura arbitraria del kernel e di decremento parola per parola, con cui alterare le proprie credenziali ed elevare i privilegi a root.

Il bug deriva da un'assegnazione non sicura vecchia di 13 anni (commit 74f84a5726c7), protetta in precedenza da un limite massimo di 32 KiB sulla lunghezza complessiva; è stato attivato dopo che il commit a1e64addf3ff di marzo 2025 ha rimosso il limite.

• ID vulnerabilità: CVE-2026-64531
• Tipo: Elevazione dei privilegi locali (LPE)
• Componente interessato: modulo openvswitch del kernel Linux
• Prerequisito di attivazione: utente normale + unshare -Urn (nessun privilegio sul namespace iniziale richiesto)

Versioni interessate / corrette

Le serie 6.13–6.17, 6.19 e 7.0 sono EOL e non riceveranno correzioni.

Requisiti di esecuzione

• Linux x86-64 con kernel interessato/non corretto in esecuzione
• Supporto OVS conntrack + FTP conntrack helper
• Namespace utente non privilegiati disponibili (unshare -Urn), sudo installato
• Python 3.7+
• Consigliati 2 GiB+ di RAM

Utilizzo

# Deve essere eseguito come utente normale (non root)
python3 ovswrap-poc.py

Lo script esegue automaticamente unshare -Urn per entrare in un namespace utente+rete privato; include una tabella di offset precalcolata per circa 800 build del kernel x86-64 e, in caso di mancata corrispondenza, tenta la derivazione dinamica da System.map / BTF / pahole. In caso di successo, ottiene una shell root senza password scrivendo una voce in /etc/sudoers.d/.

⚠️ Disclaimer

Solo per ricerca sulla sicurezza, verifica delle vulnerabilità e test difensivi. Questo PoC corrompe le credenziali del kernel, modifica i file sudoers, lascia processi zombie e stato OVS danneggiato: eseguilo esclusivamente in una VM usa e getta, mai in ambienti di produzione o non autorizzati.

Attribuzione e riferimenti

• PoC originale: manizada/OVSwrap (GPL-2.0); questo repository ne è un mirror di distribuzione
• Analisi tecnica: https://heyitsas.im/posts/ovswrap/
• Commit di correzione: 3f1f755366687d051174739fb99f7d560202f60b