【误差通告】Open vSwitch内核外地权限提升误差(CVE-2026-64531)
宣布时间 2026-08-04一、误差概述
Open vSwitch（OVS）是一款开源虚拟交流机软件 ，普遍应用于云盘算、虚拟化、软件界说网络（SDN）和容器网络情形。OVS通过用户空间组件ovs-vswitchd管理网络流规则 ，并由Linux内核�？橹葱惺莅⒉僮� ，支持流量匹配、数据包修改、毗连跟踪、隧道处置惩罚等高级网络功效。
2026年8月4日 ，耀世娱乐清静应急响应中心（VSRC）监测到Open vSwitch内核外地权限提升误差。该误差由于Open vSwitch在处置惩罚用户空间提交的action列表时 ，未准确校验嵌套Netlink属性长度 ，导致天生的内部action流凌驾16位长度字段限制后爆发整数截断。攻击者可使用特制的流规则触发长度回绕 ，使内核过失剖析攻击者可控数据 ，并团结conntrack字段结构伪造action ，实现内核信息泄露、受限内存写操作 ，最终提升至root权限。该误差无需现有OVS网桥或运行ovs-vswitchd服务 ，仅需在目的网络命名空间中具备CAP_NET_ADMIN权限即可触发 ，在启用非特权用户命名空间的系统中 ，通俗外地用户可能通过建设用户和网络命名空间实现攻击。乐成使用后可能导致系统权限失陷、容器逃逸及违反主机清静管理要求 ，对云盘算、虚拟化及容器情形造成严重清静危害。
二、影响规模
CVE-2026-64531影响包括Open vSwitch（OVS）误差路径的Linux Kernel版本。误差是否可使用不但取决于Linux Kernel版本 ，还取决于Open vSwitch�？槭欠衿粲谩⒖邪媸欠窕厮菀胂喙乇浠� ，以及系统是否允许非特权用户命名空间会见。
官方上游Linux Kernel受影响版本如下：
Linux Kernel 5.15.180 <= Linux Kernel < 5.15.212
Linux Kernel 6.1.132 <= Linux Kernel < 6.1.178
Linux Kernel 6.6.84 <= Linux Kernel < 6.6.145
Linux Kernel 6.12.20 <= Linux Kernel < 6.12.97
Linux Kernel 6.18.0 <= Linux Kernel < 6.18.40
Linux Kernel 7.1.0 <= Linux Kernel < 7.1.5
以下Linux Kernel维护分支已抵达生命周期竣事（EOL） ，Linux Kernel官方稳固分支未提供对应修复版本：
Linux Kernel 6.13.8 <= Linux Kernel <= 6.13.12
Linux Kernel 6.14.x
Linux Kernel 6.15.x
Linux Kernel 6.16.x
Linux Kernel 6.17.x
Linux Kernel 6.19.x
Linux Kernel 7.0.x
受影响Linux刊行版
凭证果真测试效果 ，以下Linux刊行版在默认设置或官方通例更新后的内核版本中可能受到CVE-2026-64531影响 ，包括AlmaLinux 9.7/9.8/10.1/10.2、Alpine Linux 3.22/3.23/3.24、Amazon Linux 2023、Arch Linux（linux/linux-lts/linux-zen）、CentOS Stream 9/10、Debian 12/13、Fedora 42/43/44、Gentoo、Kali Linux 2026.1、Linux Mint 22.3、NixOS 24.11/25.05/25.11/26.05、openSUSE Tumbleweed、Pop!_OS 22.04/24.04、Rocky Linux 9/10以及Ubuntu 22.04 Desktop minimal/full和Server版本。其中Fedora 40/41在初始测试内核中不可使用 ，但升级至包括相关变换的后续内核版本后可能受到影响。Ubuntu 24.04 Desktop minimal/full及Server版本默认受到AppArmor非特权用户命名空间战略限制 ，但保存绕过方法实现误差使用。
特定设置下受影响系统
部分Linux系统默认设置下无法直接使用CVE-2026-64531 ，但在调解清静战略或装置相关组件后可能受到影响 ，包括Arch Linux hardened、Linux Mint 21.3 Cinnamon、Oracle Linux 8/9/10 KVM以及Ubuntu 26.04系列。Arch Linux hardened默认通过kernel.unprivileged_userns_cl0限制非特权用户命名空间建设 ，开启该设置后可能受到影响；Linux Mint 21.3默认5.15.0-91-generic内核不受影响 ，但装置linux-generic-hwe-22.04并运行6.8.0-134-generic内核后可能受到影响；Oracle Linux 8/9/10 KVM默认缺少须要的Open vSwitch和conntrack�？� ，装置并加载相关�？楹罂赡苁艿接跋�；Ubuntu 26.04 Desktop、Server及AWS/Azure/GCP/GKE/Oracle云内核默认受到AppArmor战略限制 ，调解kernel.apparmor_restrict_unprivileged_userns=0后可能受到影响。
目今测试情形未受影响系统
凭证果真测试效果 ，以下系统在目今测试情形中未发明CVE-2026-64531使用条件 ，包括Amazon Linux 2 KVM、Debian 11、openSUSE Leap 16.0 OEM GNOME/KDE及Minimal-VM、Rocky Linux 8 GenericCloud、Ubuntu 18.04 Desktop/Server以及Ubuntu 20.04 Desktop minimal/full和Server版本。上述系统主要由于未引入Open vSwitch action巨细限制移除变换、保存旧版天生action巨细限制或未包括误差触发路径 ，因此无法复现误差使用。其中Amazon Linux 2和Debian 11基于Linux Kernel 5.10分支 ，Rocky Linux 8基于4.18内核分支 ，Ubuntu 18.04基于4.15内核分支 ，均未包括相关变换；Ubuntu 20.04默认5.4 GA内核未引入该变换 ，测试HWE 5.15.0-139内核同样未包括相关回溯补丁。
三、清静步伐
3.1 升级版本
官方已宣布修复补丁 ，以修复该误差
Linux Kernel >= 5.15.212
Linux Kernel >= 6.1.178
Linux Kernel >= 6.6.145
Linux Kernel >= 6.12.97
Linux Kernel >= 6.18.40
Linux Kernel >= 7.1.5
下载链接：
https://www.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.15.212
https://www.kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.1.178
https://www.kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.6.145
https://www.kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.12.97
https://www.kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.18.40
https://www.kernel.org/pub/linux/kernel/v7.x/ChangeLog-7.1.5
3.2 暂时步伐
在完成内核升级修复前 ，建议凭证营业需求接纳暂时防护步伐降低危害。关于不依赖Open vSwitch功效的系统 ，可卸载并禁用openvswitch相关内核�？� ，限制非须要网络功效加载；同时 ，关于不需要使用非特权用户命名空间的服务器 ，建议关闭该功效 ，降低通俗用户通过该机制触发内核误差实现外地权限提升的危害 ，可通过执行sysctl -w kernel.unprivileged_userns_cl0暂时关闭非特权用户命名空间功效。上述步伐可能影响依赖Open vSwitch或用户命名空间的营业 ，实验前应举行营业影响评估。
3.3 通用建议
按期更新系统补丁 ，镌汰系统误差 ，提升服务器的清静性。
增强系统和网络的会见控制 ，修改防火墙战略 ，关闭非须要的应用端口或服务 ，镌汰将危险服务（如SSH、RDP等）袒露到公网 ，镌汰攻击面。
使用企业级清静产品 ，提升企业的网络清静性能。
增强系统用户和权限管理 ，启用多因素认证机制和最小权限原则 ，用户和软件权限应坚持在最低限度。
启用强密码战略并设置为按期修改。
3.4 参考链接
https://heyitsas.im/posts/ovswrap/
https://nvd.nist.gov/vuln/detail/CVE-2026-64531
京公网安备11010802024551号