這篇文章將為大家解析一個近期被披露的 Linux 核心漏洞 CVE-2026-64531，研究人員將其命名為 OVSwrap。這個漏洞非常危險，因為它允許一個完全沒有特殊權限的本地普通用戶，直接將權限提升至系統最高權限 Root。
對於初入行的工程師來說，最需要關注的是這個漏洞如何利用 Linux 的特性來繞過安全限制，以及它在實務上的影響。
漏洞背景與核心成因
這個漏洞發生在 Open vSwitch (OVS) 的核心數據路徑（Kernel Datapath）中。首先要區分，OVS 分為用戶空間的守護進程 ovs-vswitchd 和運行在核心態的模組。這次出問題的是後者。
問題的核心在於一個長達 13 年之久的整數溢位（Integer Overflow）漏洞。在 OVS 中，生成的流動作（Flow Actions）是以 Netlink 屬性形式儲存的。Netlink 是一種 Linux 核心與用戶空間通信的機制。這裡的屬性長度欄位 nla_len 僅有 16 位元（16-bit），這意味著單個嵌套屬性的最大長度被限制在 65,535 位元組。
過去 13 年來，系統有一個 32 KiB 的總長度限制，像是一道防火牆，讓數據量永遠不會觸碰到 65,535 這個臨界點。然而，在 2025 年 3 月的一次更新中，為了修復大型 OpenStack 部署中的不可預測失敗，開發者移除了這個 32 KiB 的限制，結果意外地將這個潛伏已久的長度溢位漏洞暴露了出來。
攻擊路徑：普通用戶如何觸發
這是一個典型的權限提升路徑，攻擊者利用了 Linux 的命名空間（Namespace）特性。
首先，攻擊者利用 unprivileged user namespaces（非特權用戶命名空間），透過 unshare 命令創建私有的用戶和網路命名空間。在自己的私有命名空間內，普通用戶可以獲得 CAP_NET_ADMIN（網路管理權限）。
接著，即使系統沒有運行 OVS 守護進程，只要 Open vSwitch 模組已安裝在系統中，攻擊者就可以透過 Generic Netlink 觸發核心自動加載該模組。
一旦模組加載，攻擊者會發送一個包含大量 conntrack（連線追蹤）子動作的 CLONE 動作。在 x86-64 架構上，每個子動作會被展開為 164 位元組。當子動作數量夠多時，總長度會超過 65,535 位元組，導致 16 位元的長度欄位發生環繞（Wrap around），產生一個極小的錯誤長度值。
後續的解析程式碼會信任這個錯誤的長度，導致解析指針跳轉到攻擊者精心構造的數據區域，從而實現記憶體損毀。
從記憶體損毀到 Root 權限
由於這種溢位產生的跳轉位置是確定性的（Deterministic），攻擊者不需要複雜的堆疊佈局（Heap Grooming）就能穩定觸發。攻擊者透過三個原語（Primitives）完成最後一擊：
第一，透過偽造的 OUTPUT 動作洩漏核心指針地址，繞過 KASLR（核心地址空間佈局隨機化）。 第二，透過偽造的隧道 SET 動作實現任意核心讀取。 第三，透過偽造的 tun_dst 指針操作，精準地對目標進程的憑證（Credentials）進行遞減操作。
最終，攻擊者將其自身進程的 fsuid（檔案系統用戶 ID）和 fsgid（檔案系統組 ID）遞減為 0，從而獲取 Root 權限。
影響範圍與實務建議
這個漏洞對多數預設配置的 Linux 發行版都有影響，包括 Ubuntu, Debian, Fedora, CentOS Stream, AlmaLinux 等。特別是在多用戶共享主機或運行不可信工作負載的雲端環境中，風險極高，因為這能讓攻擊者從單一帳號漏洞擴展為整台伺服器的淪陷。
針對此漏洞的防禦建議如下：
最徹底的解決方案是更新至已修復的內核版本。請參考各發行版供應商的更新日誌，而非僅看上游版本號。
如果系統不需要使用 Open vSwitch，最快速的臨時緩解方案是禁用該模組的加載。可以在 /etc/modprobe.d/ 下創建配置文件，將 openvswitch 的安裝指令指向 /bin/false。注意，如果模組已經在內存中，必須重啟或手動卸載才能生效。
禁用非特權用戶命名空間（Unprivileged User Namespaces）可以切斷普通用戶的觸發路徑，但無法防止已經擁有 CAP_NET_ADMIN 權限的容器或進程發動攻擊。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。