CVE-2026-64531 — OVSwrap

PoC de escalonamento de privilégios local (usuário comum → root) no módulo Open vSwitch do kernel Linux. Utiliza o wraparound de inteiro do campo nla_len de 16 bits para elevar de usuário comum até root.

Resumo da vulnerabilidade

Quando o fluxo de actions aninhadas gerado pelo OVS excede 65535 bytes, o campo nla_len de 16 bits sofre wraparound. O atacante, apenas com CAP_NET_ADMIN dentro de um namespace privado de usuário/rede, pode construir uma action CLONE superdimensionada, fazendo o parser do kernel cair em dados conntrack controlados pelo atacante, obtendo assim primitivas de leitura arbitrária do kernel e decrementação byte a byte, e por fim adulterando suas próprias credenciais para escalar para root.

O bug decorre de uma atribuição insegura existente há 13 anos (commit 74f84a5726c7), anteriormente protegida pelo limite de 32 KiB no tamanho total; foi ativada depois que o commit a1e64addf3ff de março de 2025 removeu o limite.

• ID da vulnerabilidade: CVE-2026-64531
• Tipo: Escalonamento local de privilégios (LPE)
• Componente afetado: módulo openvswitch do kernel Linux
• Pré-requisito de disparo: usuário comum + unshare -Urn (sem necessidade de privilégios no namespace inicial)

Versões afetadas / corrigidas

As séries 6.13–6.17, 6.19 e 7.0 já estão em EOL (fim de vida) e não têm correção.

Requisitos de execução

• Linux x86-64, executando kernel afetado/não corrigido
• Suporte a conntrack OVS + FTP conntrack helper
• Namespaces de usuário não privilegiados disponíveis (unshare -Urn), sudo instalado
• Python 3.7+
• Recomendado 2 GiB+ de memória

Uso

# 必须以普通(非 root)用户运行
python3 ovswrap-poc.py

O script faz unshare -Urn automaticamente para entrar em um namespace privado de usuário + rede; ele inclui uma tabela de offsets pré-derivada com cerca de 800 builds do kernel x86-64; se não houver correspondência, tenta derivar dinamicamente a partir de System.map / BTF / pahole. Após o sucesso, obtém um shell root sem senha gravando uma entrada em /etc/sudoers.d/.

⚠️ Aviso legal

Apenas para pesquisa de segurança, validação de vulnerabilidades e testes defensivos. Este PoC corrompe credenciais do kernel, modifica o arquivo sudoers, deixa processos zumbis e estado OVS corrompido; execute-o somente em uma máquina virtual descartável, não em ambientes de produção ou não autorizados.

Autoria e referências

• PoC original: manizada/OVSwrap (GPL-2.0), este repositório é um espelho de distribuição
• Análise técnica: https://heyitsas.im/posts/ovswrap/
• Commit de correção: 3f1f755366687d051174739fb99f7d560202f60b