「OVSwrap」(CVE-2026-64531)と名付けられた新たなLinuxカーネルの脆弱性により、権限を持たないローカルユーザーがOpen vSwitchカーネルモジュール内の整数のラップアラウンドバグを悪用することで、完全なroot権限にまで昇格できることが明らかになりました。
セキュリティ研究者のAsim Viladi Oglu Manizada氏は、2026年6月19日に非公開で報告を行った後、Linuxカーネルのセキュリティチームおよびディストリビューションのメンテナーとの協調による情報公開猶予期間を経て、2026年7月28日にこの欠陥を公表しました。
OVSwrapは、Open vSwitchがユーザースペースのフローアクションを内部のNetlink属性に変換する際に発生する、長さフィールドのラップアラウンドに起因します。
内部のアクションストリーム全体としては正当に64KiBを超えることがあり得るものの、多数のconntrackサブアクションをまとめるCLONEアクションのような個々のネストされた属性は、依然として16ビットのnla_lenフィールド内に収まる必要があります。
修正が施される前は、OVSはこの内側の上限をまったく強制していませんでした。多数の小さなconntrackアクションを含む細工されたCLONEアクションを送信することで、攻撃者は単一のネストされた属性を65,535バイトを超えるサイズまで押し上げ、格納された長さの値を小さな値へとラップさせることができます。
その結果、カーネルのパーサーは攻撃者が制御するconntrackデータ(具体的にはCTラベルやタイムアウト名)の途中から、あたかも新しい独立したアクションの先頭であるかのように読み取りを再開してしまいます。
このラップアラウンドは、攻撃者が完全に制御するデータ内の決まったオフセットにパース処理を到達させるため、ヒープグルーミングを一切必要としません。これはメモリ破壊系のバグとしては珍しい特徴です。
この攻撃は明確な段階を踏んで進行します。まず、ラップされたオフセット位置に、実際より大きく見せかけた長さを持つ偽のOUTPUTアクションを配置します。これにより、フローがダンプされる際に、実際のFTP conntrackヘルパーへのポインタを含む隣接するカーネルデータがユーザースペースへ漏洩します。
この漏洩情報は、偽装したトンネルSETアクションを介して任意アドレス読み取りのプリミティブへと転用され、攻撃者はこれによってカーネルのランダム化されたベースアドレスを特定し、他の構造体の位置を突き止めることができます。
同じ偽装トンネル宛先は、アクションの解体処理中に再度悪用されます。解放時にdst_releaseがトリガーされるため、攻撃者は任意のカーネルワードに対する制限付きのデクリメント・プリミティブを得ることになります。
このデクリメントを繰り返すことで対象プロセスの認証情報構造体を狙い、fsuidとfsgidをゼロにする、あるいは旧世代のカーネルではケーパビリティビットをラップさせることで、最終的にホスト上でrootを取得します。
このバグをトリガーするには、攻撃者が制御するネットワーク名前空間内でCAP_NET_ADMINを持つだけで十分であり、権限を持たないユーザー名前空間が有効なシステムでは単一のunshareコマンドで実現可能です。また、事前に存在するOVSブリッジやovs-vswitchdプロセスも必要ありません。
Asim Viladi Oglu Manizada氏によれば、多くのディストリビューションはGeneric Netlinkファミリーのエイリアスを介してOVSカーネルモジュールを自動的にロードするため、攻撃が成功するのにモジュールが事前にロードされている必要はないとのことです。
この安全でない長さの割り当ての根本原因は13年前から存在していましたが、2025年3月のコミットで生成されるアクションストリームに対する旧来の32KiBの安全上限が撤廃されたことで、初めて悪用可能になりました。
影響が確認されているカーネルシリーズには、5.15.180から211、6.1.132から177、6.6.84から144、6.12.20から96、6.18.0から39が含まれ、修正版はそれぞれ5.15.212、6.1.178、6.6.145、6.12.97、6.18.40です。6.13、6.14から6.17、6.19、7.0を含む複数のサポート終了シリーズには、アップストリームによるバックポートが提供されていません。
検証の結果、Debian、Fedora、Ubuntu、Arch、Rocky Linux、AlmaLinux、Amazon Linuxを含む主要なディストリビューションのほとんどが、デフォルト設定のまま、あるいは軽微な設定変更を加えただけで悪用可能であることが判明しました。
管理者は直ちにアップストリームのカーネル修正を適用すべきです。パッチの適用が難しい場合の暫定的な対策としては、openvswitchモジュールを未使用であればブラックリストに登録すること、権限を持たないユーザー名前空間を無効化すること、あるいは研究者が概念実証エクスプロイトと共に公開した緊急用のBPFガードを導入することが推奨されます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/ovswrap-flaw-corrupt-kernel-credentials-gain-root/
