Most nemrég hozták nyilvánosságra a Linux kernel egy új sebezhetőségét, amely CVE-2026-64531 azonosítóval szerepel, és OVSwrap néven emlegetik. A hiba lehetővé teszi, hogy helyi, nem privilégizált felhasználók root jogosultságot szerezzenek számos népszerű Linux disztribúción.

A probléma az Open vSwitch (OVS) kernel datapath komponensében található. Ez egy hálózati összetevő, amelyet széles körben használnak felhő-, konténer- és virtualizációs platformokban. A sebezhetőséget Asim Viladi Oglu Manizada fedezte fel egy kísérleti kutatási módszerrel, amely nagy nyelvi modelleket kombinál strukturált memória-geometria vizualizációkkal, hogy bonyolult kernel memóriával kapcsolatos hibákat tudjon elemezni.

Az Open vSwitch a felhasználói térből kapott hálózati „akciók” listáját belső formátumra alakítja, és Netlink attribútumokban tárolja. Ezek mindegyikéhez tartozik egy hosszamező, amelyet 16 bitre korlátoztak.

A kernel ugyan engedi, hogy az akciófolyam teljes hossza meghaladja a 64 KiB-ot, korábban azonban nem ellenőrizte, hogy egy-egy beágyazott akció – például egy CLONE, amely sok apró conntrack akciót fog össze – maga is a 16 bites korlát alatt marad-e.

OVSwrap Linux sebezhetőség

Ha a támadó elég nagy akciót állít össze ahhoz, hogy átlépje a 65 535 bájtos határt, a tárolt hosszérték csendben „átfordul” egy kis számra. A későbbi kernel kód megbízik ebben az átfordult értékben, és az akció valódi vége helyett a támadó által vezérelt adat közepétől folytatja az elemzést. Így a parser összezavarodik, és a hamis adatot új, érvényes akcióként kezeli.

Mivel a conntrack mezők – például a címkék és a timeout nevek – a támadó által vezérelhetők, és az átfordulás egy előre kiszámítható eltolásnál következik be, ha ismert a kernel build, a kihasználáshoz nincs szükség memória „groomingra”. A hiba így inkább egy megbízható logikai hibaként viselkedik, nem pedig a szokásos, törékeny memóriakorrupciós problémaként.

Különösen aggasztó, hogy a kihasználáshoz nincs szükség előre létrehozott OVS bridge-re, futó switch daemonra vagy rendszerszintű adminisztrátori jogokra. Egy átlagos helyi felhasználó egyszerűen létrehozhat egy nem privilégizált user- és network namespace-t például az unshare -Urn paranccsal, CAP_NET_ADMIN jogosultságot szerezhet ebben az elszigetelt namespace-ben, majd elindíthat egy saját OVS datapath-t, és így eléri a sebezhető kódrészt.

Mivel a legtöbb disztribúció az OVS-t betölthető kernel modul formájában szállítja, amely igény szerint automatikusan betöltődik, a támadási felület olyan rendszereken is jelen van, ahol az OVS-t soha nem telepítették vagy indították el tudatosan. Ugyanez a technika elvben konténerből való kitörésre is használható.

Biztonsági kutatók alapértelmezett konfiguráció mellett is kihasználhatónak találták a hibát a Linux-ökoszisztéma széles körében, többek között az AlmaLinux, Debian, Fedora, Ubuntu, Rocky Linux, Arch Linux, openSUSE Tumbleweed, Amazon Linux, Kali Linux, NixOS és Linux Mint rendszereken. Néhány rendszeren kisebb konfigurációs módosításokra van szükség a kihasználhatósághoz, míg a régebbi kernel ágak, amelyek soha nem kapták meg a kapcsolódó 2025-ös módosítást, nem érintettek.

A hibás, nem biztonságos kód nagyjából tizenhárom éve volt jelen a kernel-ben, de csak azután vált ténylegesen kihasználhatóvá, hogy tavaly eltávolították egy korábbi méretkorlátot.

A problémát felelősségteljesen jelentették a kernel biztonsági csapatának és az OVS karbantartóinak. A javítások bekerültek a kernel stabil kiadásaiba, többek között az 5.15.212, 6.1.178, 6.6.145, 6.12.97, 6.18.40 és 7.1.5 verziókba.

Azoknak a rendszergazdáknak, akik nem tudnak azonnal javítócsomagot telepíteni, azt javasolják, hogy ha nincs rá szükség, tegyék feketelistára az openvswitch modult, ahol csak lehet, tiltsák le a nem privilégizált user namespace-eket, vagy vessék be a vészhelyzeti, BPF-alapú enyhítő megoldást, amelyet a proof-of-concept mellett adtak ki. Mivel a javítócsomagok már elérhetők, a legmegbízhatóbb védekezés továbbra is az érintett kernelek verziófrissítése.