Quando uno switch di rete diventa una porta root in Linux

Ciò che sembra una normale infrastruttura di rete può trasformarsi in un percorso di escalation. CVE-2026-64531, soprannominata OVSwrap, risiede nel datapath di Open vSwitch del kernel Linux, non nel demone in spazio utente che gli amministratori di solito monitorano. Questa distinzione conta: se il percorso nel kernel è raggiungibile, il bug può passare dalla gestione dei pacchetti all'integrità dell'host, trasformando un accesso a basso privilegio in una grave superficie di attacco locale sui sistemi interessati.

Fatti rapidi

• CVE-2026-64531 è una falla di Open vSwitch in spazio kernel legata a corruzione della memoria nel datapath.
• Il percorso vulnerabile è separato da ovs-vswitchd, il demone di controllo in spazio utente.
• L'exploitabilità dipende dalla build del kernel, dai backport del vendor, dalle policy dei namespace utente e dal fatto che il modulo openvswitch sia presente o caricabile.
• La correzione è stata inclusa nei rami stabili il 24 luglio, ma i kernel dei vendor necessitano ancora dei propri backport.
• Se Open vSwitch non è richiesto, bloccare il caricamento dei moduli è una misura pratica di riduzione del rischio.

Perché questo bug è importante

Open vSwitch è ampiamente usato nella virtualizzazione, nei container e nel networking cloud perché può spostare il traffico in modo efficiente tra kernel e spazio utente. Il compromesso è che il suo percorso veloce vive molto vicino al cuore del sistema operativo. In questo caso, il confine rischioso è la gestione degli attributi Netlink all'interno del datapath del kernel, dove dati di azione annidati malformati possono portare a corruzione della memoria.

Il percorso di attacco segnalato è locale, non remoto. Questo non lo rende banale. I namespace utente di Linux possono consentire a utenti ordinari di creare un contesto privato con capacità come CAP_NET_ADMIN all'interno del namespace, e ciò potrebbe essere sufficiente per raggiungere il codice vulnerabile se l'host lo consente. In altre parole, una funzionalità progettata per l'isolamento può anche ampliare la superficie di attacco raggiungibile quando il codice del kernel si fida troppo dei privilegi limitati al namespace.

La preoccupazione tecnica non è solo un crash. La prova di concetto descritta combina una fuga di puntatore, una lettura arbitraria e un primitivo di decremento mirato per spingere i valori delle credenziali verso root. È uno schema classico di escalation dei privilegi: prima individuare la posizione del kernel in memoria, poi modellare la sovrascrittura finché le credenziali cambiano. L'esito esatto dipende ancora dai dettagli della build, dalle mitigazioni e dal fatto che il percorso vulnerabile sia effettivamente raggiungibile sull'host.

I difensori dovrebbero considerarla contemporaneamente una questione di patching e di gestione dell'esposizione. Se Open vSwitch non è necessario, impedire il caricamento del modulo tramite i controlli di sistema supportati. Se invece è necessario, verificare che il kernel in esecuzione contenga la correzione, non solo che esista un aggiornamento del pacchetto sulla carta. Le restrizioni dei namespace e le policy LSM come AppArmor possono anche cambiare la raggiungibilità, ma queste protezioni dipendono dalla configurazione e dovrebbero essere verificate direttamente su ciascun sistema.

Conclusione

OVSwrap ricorda che i bug più pericolosi non sono sempre nei servizi evidenti. Le funzionalità di rete del kernel possono restare silenziose per anni e diventare comunque un percorso di presa del controllo dell'host quando la sicurezza della memoria fallisce nel confine sbagliato. La lezione più ampia è semplice: se una funzionalità tocca il kernel, merita la stessa urgenza, lo stesso livello di test e la stessa disciplina di rimozione di qualsiasi altro confine di privilegio.

WIKICROOK

• Open vSwitch: Uno switch virtuale usato per il networking software-defined, con componenti sia in spazio utente sia nel kernel.
• Netlink: Il canale di comunicazione di Linux tra spazio utente e spazio kernel per il networking e il controllo del sistema.
• Namespace utente: Una funzionalità di isolamento di Linux che può concedere capacità all'interno del namespace senza rendere l'utente root sull'host.
• Escalation dei privilegi: Una falla o tecnica che consente a un attaccante di ottenere più permessi del previsto, spesso fino a root.
• Kernel datapath: Il percorso di inoltro nel kernel che gestisce l'elaborazione rapida dei pacchetti e i relativi messaggi di controllo.