Le composant noyau d'Open vSwitch, un logiciel réseau très répandu sur les serveurs Linux, contient la faille OVSwrap (CVE-2026-64531). Un compte utilisateur ordinaire, sans droit particulier, obtient par cette faille les privilèges root. Un correctif est disponible depuis le 24 juillet, mais toutes les distributions ne l'ont pas encore intégré.
Plusieurs plateformes de virtualisation et de cloud installent Open vSwitch pour aiguiller le trafic entre machines virtuelles et conteneurs. Un service utilisateur pilote ce logiciel au quotidien, mais un second composant, situé dans le noyau, exécute chaque action réseau. La faille se trouve dans ce second composant. L’échelle CVSS lui attribue un score de gravité de 7,8 sur 10.
Un compte local sans droit particulier peut atteindre ce composant en quelques commandes. Il suffit de créer un espace de noms réseau isolé, par la commande unshare -Urn, pour obtenir à l’intérieur les privilèges nécessaires. Sur la plupart des distributions testées, le noyau charge automatiquement le module concerné dès qu’un processus interroge son nom, même si celui-ci n’était pas actif auparavant. Debian, Ubuntu, Fedora, Rocky Linux, Arch et Alpine sont vulnérables dans leur configuration par défaut.
Depuis la suppression d’une limite en 2025, un bug vieux de treize ans est de nouveau exploitable
Chaque action réseau transmise à Open vSwitch prend la forme d’un attribut Netlink, une structure dont le champ de longueur ne dépasse pas 16 bits. Ce champ plafonne donc une seule entrée à 65 535 octets. Dans le noyau, une fonction referme chaque action imbriquée, à l’image d'un ordre CLONE. Cet ordre regroupe plusieurs sous-actions, et la fonction recopiait leur longueur totale sans vérifier qu’elle tenait dans cette limite. Pendant treize ans, l’erreur n’a produit aucun effet, car un plafond de 32 kilooctets sur la taille totale des actions empêchait alors toute action imbriquée d’atteindre le point de dépassement.
En supprimant ce plafond en mars 2025 pour résoudre des échecs imprévisibles dans de grands déploiements OpenStack, des ingénieurs du noyau ont aussi retiré le dernier obstacle au dépassement des 65 535 octets. Un chercheur a repéré cette conséquence grâce à des agents fondés sur des modèles de langage, entraînés à tenir un diagramme ASCII de l’état de la mémoire à chaque étape de leur raisonnement. Il avait déjà appliqué cette méthode à une précédente faille, CIFSwitch.
Le compte extrait un shell root d'une confusion mémoire dans le noyau
Les administrateurs systèmes affrontent une nouvelle faille d'élévation de privilèges, après Copy Fail et Dirty Frag, deux failles similaires recensées plus tôt cette année. Sur une machine vulnérable, un compte sans droit particulier assemble une action réseau saturée de centaines de sous-actions de suivi de connexion. Le champ de longueur bascule alors au-delà de sa limite de 16 bits. Le noyau lit ensuite des données fournies par ce même compte comme s'il s'agissait de nouvelles actions légitimes. En exploitant cette confusion, le compte accède à des zones de mémoire du noyau, puis puise dans ces données l'identifiant d'un processus du système hôte. Il fait ensuite chuter à zéro les droits associés à ce processus. Le compte modifie alors le fichier sudoers et ouvre un shell root. Le chercheur a publié ce code avec des repères déjà calculés pour environ 800 versions de noyau x86-64, et une méthode de calcul à la volée pour les versions restantes.
Les branches stables 5.15.212, 6.1.178, 6.6.145, 6.12.97, 6.18.40 et 7.1.5 embarquent désormais ce correctif. Les séries 6.13 à 6.17 et 6.19, de même que la 7.0, ont atteint leur fin de vie et n'en recevront pas. Quand l'installation d'un noyau corrigé n'est pas possible, un administrateur ferme cet accès en bloquant le chargement du module. La commande echo 'install openvswitch /bin/false' > /etc/modprobe.d/ovswrap.conf empêche tout nouveau chargement, à condition qu'aucune instance du module ne soit déjà active en mémoire. Amazon Linux 2, Debian 11, Rocky Linux 8 et Ubuntu 20.04 échappent au problème, car leurs noyaux plus anciens n'ont jamais reçu la modification de mars 2025. En désactivant les espaces de noms utilisateur non privilégiés, un administrateur retire cette voie d'accès à un compte local, mais laisse ouverte celle d'un conteneur déjà doté de la capacité réseau requise. Le chercheur a jugé cette dernière voie théoriquement atteignable, sans l'intégrer au code rendu public.
