OVSwrap (CVE-2026-64531)

Writeup

[!WARNING] 이 PoC는 방어자, 유지보수자, 그리고 권한이 부여된 보안 팀이 자체 소유 또는 명시적으로 테스트 권한을 부여받은 시스템에서 패치, 완화 조치, 탐지 및 노출 범위를 검증하는 데만 도움이 되도록 제공됩니다.

이 자료의 사용이 합법적이고, 권한이 부여되었으며, 통제된 상태에서 격리된 테스트 환경에서 수행되도록 하는 책임은 전적으로 사용자에게 있습니다.

[!WARNING] 이 PoC는 파괴적입니다. 성공 시 라이브 커널 자격 증명(credential)을 손상시키고, /etc/sudoers.d 또는 /etc/sudoers를 수정하며, 루트 셸을 열고, 안전하지 않은 종료를 피하기 위해 분리된 프로세스와 손상된 OVS 상태를 남겨둡니다.

일회용 VM/임시 호스트에서만 실행하십시오. 재부팅하면 남아 있는 프로세스는 중지되지만 sudoers 수정은 되돌리지 않습니다.

이 PoC는:

1. 호스트 측 writer 프로세스를 포크한 다음, 개인 사용자/네트워크 네임스페이스와 OVS datapath를 생성합니다.
2. 생성된 중첩 액션의 nla_len을 래핑합니다.
3. 가짜 OVS 액션을 사용해 커널 포인터 유출, 커널 읽기, 그리고 특정 32비트 감소를 수행합니다.
4. 커널 메모리에서 writer 프로세스를 찾아 그 자격 증명을 손상시키고,
5. 비밀번호 없는 sudo 규칙을 작성하도록 신호를 보낸 다음 sudo -n bash를 실행합니다.

이 PoC는 단순함을 위해 x86-64를 대상으로 가정합니다. 이론적으로 이 버그는 아키텍처 특정적이지 않아야 합니다.

요구 사항

• 영향을 받는, 패치되지 않은 커널을 실행하는 Linux x86-64
• Open vSwitch 커널 datapath 지원(내장 또는 로드 가능)
• OVS conntrack, conntrack 레이블, FTP conntrack 헬퍼
• 권한이 없는 사용자 및 네트워크 네임스페이스 생성 (unshare -Urn)
• 필요한 모듈이 아직 로드되지 않은 경우 모듈 로딩이 허용되어야 함
• Python 3.7+
• sudo, bash, unshare, id
• 2 GiB+ RAM 권장

passwd 항목이 있는 권한 없는 사용자로 실행하십시오.

사용법

python3 ovswrap-poc.py

PoC는 자동으로 unshare -Urn을 시도하고, AppArmor에 차단된 경우 aa-exec -p trinity -- unshare -Urn으로 대체합니다.

커널 빌드 데이터

PoC에는 약 800개의 정확한 x86-64 커널 빌드에 대해 미리 파생된 값이 포함되어 있으며, 다음을 사용하여 매칭합니다:

uname -r
uname -v
uname -m

일치하는 레코드는 로컬 심볼, BTF, 디버그 패키지 또는 pahole이 필요 없습니다. 포함되지 않은 빌드의 경우, PoC는 확인을 요청하고 다음에서 동적 파생을 시도합니다:

• System.map 또는 0이 아닌 /proc/kallsyms;
• 커널/모듈 BTF 또는 일치하는 스트립되지 않은 커널 객체; 및
• 반드시 이미 설치되어 있어야 하는 pahole.

값 파생에 실패한다고 해서 커널이 영향을 받지 않는다는 의미는 아닙니다. 동적 파생은 여러 이유로 실패할 수 있기 때문입니다. 영향을 받는지 확인하는 더 나은 방법은 writeup을 참조하십시오.