OVSwrap (CVE-2026-64531)

Разбор

[!WARNING] PoC предоставляется исключительно для того, чтобы помочь защитникам, сопровождающим и авторизованным командам безопасности проверить исправления, смягчающие меры, детекторы и подверженность на системах, которыми они владеют или на тестирование которых у них есть явное разрешение.

Вы несёте единоличную ответственность за то, чтобы ваше использование этого материала было законным, авторизованным, контролируемым и проводилось в изолированной тестовой среде.

[!WARNING] Этот PoC разрушителен. При успехе он повреждает активный credential ядра, изменяет /etc/sudoers.d или /etc/sudoers, открывает root-оболочку и оставляет отделённые процессы и повреждённое состояние OVS активными, чтобы избежать небезопасного завершения.

Запускайте его только в одноразовой ВМ/одноразовом хосте. Перезагрузка останавливает оставшиеся процессы, но не отменяет изменение sudoers.

PoC:

1. порождает writer-процесс на стороне хоста, затем создаёт приватное пользовательское/сетевое пространство имён и datapath OVS
2. оборачивает сгенерированный nla_len вложенного действия
3. использует фальшивые OVS-действия для утечки указателя ядра, чтения ядра и целевого 32-битного декремента
4. находит writer-процесс в памяти ядра и повреждает его credential, и
5. подаёт ему сигнал записать правило sudo без пароля, после чего запускает sudo -n bash.

PoC предполагает и нацелен на x86-64, чтобы всё было просто. Теоретически ошибка не должна зависеть от архитектуры.

Требования

• Linux x86-64 с уязвимым, неисправленным ядром
• Поддержка datapath Open vSwitch в ядре, встроенная или загружаемая
• OVS conntrack, метки conntrack и conntrack-помощник для FTP
• Непривилегированное создание пользовательских и сетевых пространств имён (unshare -Urn)
• Загрузка модулей разрешена, если требуемые модули ещё не загружены
• Python 3.7+
• sudo, bash, unshare и id
• Рекомендуется 2 ГиБ+ ОЗУ

Запускайте его от непривилегированного пользователя с записью в passwd.

Использование

python3 ovswrap-poc.py

PoC автоматически попробует unshare -Urn и вернётся к aa-exec -p trinity -- unshare -Urn, если AppArmor блокирует его.

Данные о сборках ядра

PoC содержит предварительно вычисленные значения для ~800 точных сборок ядра x86-64, сопоставляемых с помощью:

uname -r
uname -v
uname -m

Совпадающая запись не требует локальных символов, BTF, отладочного пакета или pahole. Для непокрытой сборки PoC запрашивает подтверждение и пытается выполнить динамический вывод из:

• System.map или ненулевой /proc/kallsyms;
• BTF ядра/модулей или соответствующие объекты ядра без удалённых символов; и
• pahole, который должен быть уже установлен.

Неудача при выводе значений не означает, что ядро не затронуто, поскольку динамический вывод может не сработать по ряду причин; см. разбор для более надёжных способов определить, затронуты ли вы.