OVSwrap (CVE-2026-64531)

Análise

[!WARNING] O PoC é fornecido exclusivamente para ajudar defensores, mantenedores e equipes de segurança autorizadas a validar correções, mitigações, detecções e exposição em sistemas que possuem ou para os quais foram explicitamente autorizados a testar.

Você é o único responsável por garantir que o uso deste material seja lícito, autorizado, controlado e realizado em um ambiente de teste isolado.

[!WARNING] Este PoC é destrutivo. Em caso de sucesso, ele corrompe uma credencial ativa do kernel, modifica /etc/sudoers.d ou /etc/sudoers, abre um shell root e deixa processos destacados e estado OVS corrompido em execução para evitar um desligamento inseguro.

Execute-o apenas em uma VM descartável/host descartável. Reiniciar interrompe os processos restantes, mas não desfaz a modificação no sudoers.

O PoC:

1. cria um processo escritor no lado do host e, em seguida, cria um namespace de usuário/rede privado e um datapath OVS
2. ajusta um nla_len de ação aninhada gerado
3. usa ações OVS falsas para vazamento de ponteiro do kernel, leitura do kernel e decremento direcionado de 32 bits
4. localiza o processo escritor na memória do kernel e corrompe sua credencial, e
5. sinaliza para ele escrever uma regra de sudo sem senha e, em seguida, executa sudo -n bash.

O PoC pressupõe e visa x86-64 para manter as coisas simples. Em teoria, o bug não deve ser específico de arquitetura.

Requisitos

• Linux x86-64 executando um kernel afetado e sem correção
• Suporte ao datapath de kernel Open vSwitch, embutido ou carregável
• OVS conntrack, rótulos de conntrack e o auxiliar de conntrack FTP
• Criação de namespace de usuário e rede não privilegiado (unshare -Urn)
• Carregamento de módulos permitido se os módulos necessários não estiverem já carregados
• Python 3.7+
• sudo, bash, unshare e id
• Recomenda-se 2 GiB+ de RAM

Execute-o como um usuário não privilegiado com uma entrada passwd.

Uso

python3 ovswrap-poc.py

O PoC tentará automaticamente unshare -Urn e, se estiver bloqueado pelo AppArmor, recorrerá a aa-exec -p trinity -- unshare -Urn.

Dados de build do kernel

O PoC contém valores pré-derivados para ~800 builds x86-64 exatos do kernel, correspondidos usando:

uname -r
uname -v
uname -m

Um registro correspondente não precisa de símbolos locais, BTF, pacote de depuração ou pahole. Para um build não coberto, o PoC pede confirmação e tenta derivar dinamicamente a partir de:

• System.map ou /proc/kallsyms diferente de zero;
• BTF do kernel/módulos ou objetos de kernel sem stripping correspondentes; e
• pahole, que já deve estar instalado.

A falha ao derivar valores não significa que o kernel não é afetado, pois a derivação dinâmica pode falhar por vários motivos; consulte a análise para maneiras melhores de saber se você é afetado.