Uma nova vulnerabilidade crítica no kernel do Linux, batizada de OVSwrap (CVE-2026-64531), está a deixar administradores de sistemas em alerta ao permitir que utilizadores locais sem privilégios obtenham acesso total de root. Segundo detalhou a CloudLinux no seu blog oficial, o problema afeta diretamente a validação de ações do componente Open vSwitch e já conta com um exploit público funcional, embora ainda não tenha recebido uma pontuação CVSS.
O impacto estende-se a várias distribuições do ecossistema, abrangendo as famílias EL9 e EL10, bem como diversas versões do Ubuntu e Debian. No caso específico da CloudLinux, as versões 9, 10 e a variante para Ubuntu 22.04 estão confirmadas como vulneráveis, enquanto a versão 8 permanece sob investigação.
Como funciona o ataque OVSwrap
A origem do problema reside numa falha com cerca de 13 anos na atribuição de valores, que se tornou explorável em março de 2025 após a remoção de um limite de 32 KiB no fluxo de ações gerado. A vulnerabilidade ocorre porque o Open vSwitch não verifica corretamente se as ações aninhadas ultrapassam o limite de 65.535 bytes do campo de comprimento de 16 bits.
Na prática, um atacante pode contornar esta validação introduzindo centenas de pequenas ações de conntrack dentro do wrapper OVS_ACTION_ATTR_CLONE. Ao fazê-lo, o comprimento excede o limite, reiniciando o valor para um número pequeno e passando na verificação do sistema. A partir daí, o kernel confia neste tamanho corrompido e passa a ler bytes controlados pelo atacante como instruções reais.
O resultado desta cadeia é uma fuga de ponteiro do kernel e uma leitura de memória. Através de um decréscimo direcionado de referência de 32 bits, o atacante corrompe credenciais num processo auxiliar, escreve uma regra no sudoers e abre uma shell de root. Todo o processo acontece de forma determinística, sem qualquer dependência de condições de corrida.
Mitigação imediata e estado das correções
Para explorar a falha, o sistema necessita de operar em arquitetura x86-64, ter o datapath do Open vSwitch compilado com suporte para conntrack e utilitário FTP, e permitir a criação de namespaces sem privilégios. A CloudLinux alerta que os números de versão do kernel podem ser enganadores neste cenário: devido aos backports, um kernel 5.14 pode estar vulnerável, ao passo que um 4.18 poderá estar seguro. A janela de versões upstream afetada vai da 6.14 à 7.2-rc3, com gamas estáveis publicadas a partir da 5.15.180.
Os administradores podem verificar a exposição executando o comando ls /lib/modules/$(uname -r)/kernel/net/openvswitch/openvswitch.ko* 2>/dev/null. Se o terminal devolver um caminho, a máquina está em risco.
Existe uma mitigação de linha única que não exige o reinício do servidor, bastando injetar a instrução echo 'install openvswitch /bin/false' > /etc/modprobe.d/ovswrap.conf. Para quem utiliza a tecnologia KernelCare na CloudLinux 9, já está disponível um livepatch no canal de testes, estando em preparação a proteção para a versão 10 e para o Ubuntu 22.04. Em ambientes de alojamento partilhado, a urgência de aplicação é crítica, visto que um único site comprometido pode resultar no controlo absoluto de todo o servidor.
Nenhum comentário
Seja o primeiro!