Se ha descubierto una vulnerabilidad de corrupción de memoria en el núcleo de Linux (CVE-2026-64531) denominada OVSwrap, que permite a usuarios locales obtener privilegios de root. El fallo reside en el datapath de Open vSwitch y afecta a numerosas distribuciones configuradas por defecto. Se recomienda actualizar el kernel o bloquear la carga del módulo openvswitch para mitigar el riesgo.







Un fallo de corrupción de memoria en el datapath de Open vSwitch del kernel de Linux permite que usuarios locales ordinarios obtengan privilegios de root en un amplio conjunto de distribuciones configuradas por defecto, y se ha publicado un exploit con registros preconfigurados para aproximadamente 800 compilaciones del kernel.

La vulnerabilidad, rastreada como CVE-2026-64531 (puntuación CVSS: 7.8) y apodada OVSwrap por quien la descubrió, fue revelada por el investigador de seguridad Asim Manizada el 28 de julio de 2026.

El error reside en el datapath del kernel, no en el demonio de espacio de usuario ovs-vswitchd. En un informe técnico https://heyitsas.im/posts/ovswrap/, Manizada afirmó que un atacante no necesita "ningún puente OVS existente, ningún ovs-vswitchd en ejecución, ni CAP_NET_ADMIN a nivel de host".

En los sistemas afectados donde el datapath del kernel OVS está disponible y los espacios de nombres de usuario no privilegiados están habilitados, un usuario común puede crear espacios de nombres de usuario y red privados con unshare -Urn, obtener CAP_NET_ADMIN dentro de ese espacio de nombres y alcanzar la ruta vulnerable de instalación de flujos.

Si el módulo openvswitch está instalado pero no cargado, resolver su nombre de familia Generic Netlink puede cargarlo automáticamente. Que la salida de lsmod esté vacía no significa que tu sistema esté seguro.

La corrección upstream https://github.com/torvalds/linux/commit/3f1f755366687d051174739fb99f7d560202f60b se lanzó en los árboles estables el 24 de julio. En los casos donde aún no haya un kernel del proveedor parcheado y no necesites Open vSwitch, bloquea las futuras cargas del módulo; si el módulo ya reside en memoria, descárgalo o reinicia.

Manizada dijo que informó del problema a security@kernel.org y a los mantenedores de OVS el 19 de junio. Las primeras versiones corregidas upstream son Linux 5.15.212, 6.1.178, 6.6.145, 6.12.97, 6.18.40 y 7.1.5. Las series 6.13 a 6.17, 6.19 y 7.0, que han llegado al final de su vida útil, no recibirán correcciones estables upstream.

Esos números upstream no son suficientes por sí solos. Los kernels de las distribuciones incluyen backports y cambios downstream, por lo que el rastreador del proveedor es la fuente de verdad más segura.

Open vSwitch almacena las acciones de flujo generadas como atributos Netlink cuyo campo nla_len tiene un ancho de 16 bits, limitando cualquier atributo anidado individual a 65,535 bytes. La asignación insegura existía desde hace 13 años, pero un límite de 32 KiB en el flujo total de acciones generadas mantenía la acción anidada por debajo del punto de desbordamiento.

Un cambio de marzo de 2025 https://github.com/torvalds/linux/commit/a1e64addf3ff9257b45b78bc7d743781c3f41340 eliminó ese límite porque producía fallos impredecibles, incluso en despliegues grandes de OpenStack, y expuso el antiguo error de truncamiento. El hilo de revisión del commit habilitador discutió la fiabilidad y los fallos visibles para el usuario, pero no abordó la consecuencia de seguridad de eliminar la protección.

Un atacante envía una acción CLONE cargada con cientos de subacciones de conntrack. En x86-64, el kernel expande cada una a 164 bytes, empujando la acción anidada generada más allá de los 65,535 bytes. Cuando OVS escribe el resultado en el campo de longitud de 16 bits, el valor da la vuelta (wrap).

El código posterior confía en esa longitud y reanuda el análisis desde el interior de los datos de conntrack controlados por el atacante, donde esperan acciones OVS falsificadas. Debido a que el punto de aterrizaje es determinista dentro del mismo búfer contiguo, no se requiere el acondicionamiento del heap (heap grooming).

Manizada describió el resultado como una vulnerabilidad de corrupción de memoria con una "fiabilidad de nivel de error lógico".

El exploit encadena tres primitivas derivadas del desbordamiento: una fuga de puntero del kernel a través de una acción OUTPUT falsa, una lectura arbitraria del kernel mediante una acción SET de túnel falsificada y un decremento objetivo a través del desmantelamiento de un puntero tun_dst falsificado. Utiliza estas primitivas para encontrar las credenciales de un proceso del host y, en kernels modernos, decrementar fsuid y fsgid a cero.

La prueba de concepto publicada es explícitamente destructiva. También requiere que estén instalados el soporte de conntrack de OVS, el ayudante de conntrack FTP y sudo.

Si tiene éxito, corrompe una credencial del kernel en vivo, modifica /etc/sudoers.d o /etc/sudoers, abre una shell de root y deja procesos y el estado de OVS para evitar un desmantelamiento inseguro. El repositorio de la PoC https://github.com/manizada/OVSwrap incluye registros para aproximadamente 800 compilaciones exactas de kernel x86-64 e intenta la derivación dinámica a partir de símbolos o BTF para las compilaciones no cubiertas.

La matriz de pruebas no exhaustiva de Manizada encontró explotación con configuración predeterminada en AlmaLinux 9 y 10, Alpine 3.22 a 3.24, Amazon Linux 2023, Arch, CentOS Stream 9 y 10, Debian 12 y 13, Fedora 42 a 44, Gentoo, Kali 2026.1, Linux Mint 22.3, NixOS, openSUSE Tumbleweed, Pop!_OS, Rocky Linux 9 y 10, y Ubuntu 22.04.

En los sistemas Ubuntu 24.04 probados, AppArmor bloqueó la creación directa de espacios de nombres, pero la alternativa aa-exec -p trinity de la PoC restauró la accesibilidad. Ubuntu 26.04 stock bloqueó la ruta del usuario ordinario; desactivar su restricción de AppArmor para espacios de nombres de usuario hizo que los sistemas probados fueran explotables.

Amazon Linux 2, Debian 11, Rocky Linux 8 y Ubuntu 20.04 probados conservaban rutas de código más antiguas y no eran explotables a través de esta vía.

Instala un kernel del proveedor parcheado donde esté disponible. Donde no sea necesario Open vSwitch, el paso intermedio más rápido es un bloqueo de módulo:

echo 'install openvswitch /bin/false' > /etc/modprobe.d/ovswrap.conf

La anulación bloquea futuros intentos de carga del módulo; un módulo que ya resida en memoria aún debe ser eliminado o borrado reiniciando.

Desactivar los espacios de nombres de usuario no privilegiados cierra la ruta del usuario local ordinario, pero no bloquea un contenedor u otro proceso que ya tenga CAP_NET_ADMIN sobre un espacio de nombres de red controlado por un atacante. Manizada describió la dirección del contenedor como teóricamente alcanzable, pero no lo demostró en la PoC publicada. El repositorio de la PoC también incluye una protección BPF de emergencia para entornos que deban mantener activos tanto OVS como los espacios de nombres.

El riesgo es especialmente agudo donde varios usuarios o cargas de trabajo no confiables comparten un host. Como indica la advertencia de CloudLinux https://blog.cloudlinux.com/ovswrap-cve-2026-64531-mitigation/, el usuario local en ese escenario puede ser un atacante que ya haya comprometido un sitio a través de un fallo no relacionado, y OVSwrap es lo que convierte ese problema de una sola cuenta en uno de todo el servidor.

Fuente:
THN