Se ha descubierto una nueva vulnerabilidad en el kernel de Linux, identificada como CVE-2026-64531 y denominada OVSwrap. Este fallo se encuentra en el componente de red Open vSwitch (OVS), utilizado frecuentemente en plataformas de virtualización, contenedores y nube, y permite que usuarios locales sin privilegios puedan escalar sus permisos hasta obtener acceso de root en diversas distribuciones de Linux.

Una vulnerabilidad del kernel de Linux recientemente revelada, rastreada como CVE-2026-64531 y apodada OVSwrap, permite que usuarios locales sin privilegios escalen sus privilegios a root en una amplia gama de distribuciones populares de Linux.

El fallo reside dentro del datapath del kernel de Open vSwitch (OVS), un componente de red ampliamente utilizado en plataformas de nube, contenedores y virtualización, y fue descubierto mediante un enfoque de investigación experimental de Asim Viladi Oglu Manizada que combina modelos de lenguaje extensos con visualizaciones estructuradas de la geometría de la memoria para razonar sobre errores complejos de memoria del kernel.

Open vSwitch toma una lista de "acciones" de red desde el espacio de usuario y las reescribe en un formato interno almacenado mediante atributos Netlink, cada uno de los cuales tiene un campo de longitud limitado a solo 16 bits.

Aunque el kernel permite que el flujo de acciones general exceda los 64 KiB, anteriormente no comprobaba si una acción anidada individual, como un CLONE que envuelve muchas acciones pequeñas de conntrack, se mantenía por debajo de ese mismo límite de 16 bits.

Vulnerabilidad de Linux OVSwrap

Cuando un atacante diseña una acción lo suficientemente grande como para cruzar el límite de 65.535 bytes, el valor de longitud almacenado se reinicia silenciosamente a un número pequeño. Posteriormente, el código del kernel confía en ese valor reiniciado y reanuda el análisis desde la mitad de los datos controlados por el atacante en lugar del final real de la acción, confundiendo efectivamente al analizador para que trate los datos falsificados como nuevas acciones legítimas.

Debido a que los campos de conntrack, como las etiquetas y los nombres de tiempo de espera, están controlados por el atacante, y el reinicio ocurre en un desplazamiento predecible una vez que se conoce la compilación del kernel, la explotación no requiere ningún acondicionamiento de memoria, lo que hace que se comporte más como un error de lógica fiable que como un problema típico y frágil de corrupción de memoria.

Alarmantemente, la explotación no requiere ningún puente OVS preexistente, un demonio de conmutador en ejecución o derechos administrativos a nivel de host. Un usuario local ordinario puede simplemente crear un espacio de nombres de usuario y de red sin privilegios con un comando como unshare -Urn, obtener CAP_NET_ADMIN dentro de ese espacio de nombres aislado y activar un datapath de OVS privado para llegar a la ruta de código vulnerable.

Dado que la mayoría de las distribuciones suministran OVS como un módulo de kernel cargable que se carga automáticamente bajo demanda, la superficie de ataque está presente incluso en sistemas donde OVS nunca fue instalado o iniciado intencionadamente, y la misma técnica podría extenderse plausiblemente a escenarios de escape de contenedores.

Los investigadores de seguridad encontraron que el error es explotable en configuraciones predeterminadas en una amplia franja del ecosistema Linux, incluyendo AlmaLinux, Debian, Fedora, Ubuntu, Rocky Linux, Arch Linux, openSUSE Tumbleweed, Amazon Linux, Kali Linux, NixOS y Linux Mint, entre otros. Algunos sistemas requieren pequeños ajustes de configuración para volverse explotables, mientras que las ramas más antiguas del kernel que nunca recibieron un cambio relacionado en 2025 permanecen sin afectar.

El código inseguro subyacente había existido en el kernel durante aproximadamente trece años, pero solo se volvió explotable después de que se eliminara un límite de tamaño anterior el año pasado.

El problema fue revelado responsablemente al equipo de seguridad del kernel y a los mantenedores de OVS, con correcciones implementadas en versiones estables del kernel, incluidas las 5.15.212, 6.1.178, 6.6.145, 6.12.97, 6.18.40 y 7.1.5.

Si tú eres un administrador que no puede aplicar el parche inmediatamente, se te recomienda poner en lista negra el módulo openvswitch si no es necesario, desactivar los espacios de nombres de usuario sin privilegios donde sea factible, o desplegar la mitigación de emergencia basada en BPF publicada junto con la prueba de concepto. Dada la disponibilidad de parches, actualizar los kernels afectados sigue siendo la defensa.

Fuentes:
https://cybersecuritynews.com/ovswrap-linux-vulnerability/