هشدار امنیتی: آسیب‌پذیری OVSwrap در هسته لینوکس امکان دسترسی Root را فراهم می‌کند

یک آسیب‌پذیری امنیتی جدید در هسته لینوکس (Linux Kernel) با شناسه CVE-2026-64531 شناسایی شده است که می‌تواند به مهاجم دارای دسترسی محلی اجازه دهد سطح دسترسی خود را تا Root افزایش دهد.

این نقص امنیتی که با نام OVSwrap شناخته می‌شود، بخش Open vSwitch یا OVS در هسته لینوکس را تحت تأثیر قرار می‌دهد و به دلیل نحوه مدیریت برخی Actionهای تو در تو در مسیر پردازش Open vSwitch ایجاد می‌شود. در شرایط مناسب، این مشکل می‌تواند به خرابی حافظه Kernel و در نهایت Local Privilege Escalation منجر شود.

اهمیت این آسیب‌پذیری زمانی بیشتر می‌شود که بدانیم یک Proof of Concept یا PoC عمومی نیز برای بهره‌برداری از OVSwrap منتشر شده است و پژوهشگران برای تعداد زیادی از Kernel Buildها اطلاعات لازم برای بهره‌برداری را فراهم کرده‌اند.

آسیب‌پذیری OVSwrap چیست؟

OVSwrap نامی است که به آسیب‌پذیری CVE-2026-64531 در پیاده‌سازی Open vSwitch هسته لینوکس داده شده است.

Open vSwitch یک Virtual Switch متن‌باز است که در بسیاری از زیرساخت‌های مجازی‌سازی، شبکه‌های نرم‌افزارمحور و برخی محیط‌های Cloud و Container مورد استفاده قرار می‌گیرد.

مشکل اصلی در نحوه مدیریت Actionهای تولیدشده توسط Open vSwitch قرار دارد. این Actionها در ساختارهایی از نوع nlattr ذخیره می‌شوند و فیلد طول nla_len از نوع 16 بیتی است.

تغییری که در سال 2025 در Kernel انجام شد، محدودیتی را حذف کرد که پیش‌تر عملاً مانع رسیدن برخی ساختارهای داخلی به اندازه‌ای می‌شد که سرریز رخ دهد. در نتیجه، یک Nested Action بیش از حد بزرگ می‌تواند باعث Integer Overflow و ثبت طول نادرست شود. پردازش بعدی این ساختار ممکن است Kernel را وادار کند داده‌ها را برخلاف ساختار اصلی تفسیر کند.

CVE-2026-64531 چگونه به دسترسی Root منجر می‌شود؟

سناریوی حمله OVSwrap یک Remote Code Execution مستقیم نیست. مهاجم در حالت معمول ابتدا باید امکان اجرای کد روی سیستم هدف را داشته باشد.

سپس با دسترسی به مسیر آسیب‌پذیر Open vSwitch می‌تواند شرایط لازم برای ایجاد خرابی حافظه در Kernel را فراهم کند.

در تحلیل فنی منتشرشده برای این آسیب‌پذیری، استفاده از یک OVS CLONE action شامل تعداد زیادی CT یا Connection Tracking sub-action می‌تواند باعث شود اندازه داخلی ساختار از محدوده قابل نمایش توسط فیلد 16 بیتی عبور کند.

نتیجه می‌تواند تفسیر اشتباه داده‌های موجود در حافظه Kernel و ایجاد Primitiveهایی باشد که نهایتاً برای تغییر Credentialهای پردازش و دستیابی به Root Privileges مورد استفاده قرار گیرند.

به زبان ساده، مسیر حمله را می‌توان چنین خلاصه کرد:

دسترسی محلی → سوءاستفاده از OVS → خرابی حافظه Kernel → افزایش سطح دسترسی → Root

چرا آسیب‌پذیری OVSwrap خطرناک است؟

ممکن است در نگاه اول یک آسیب‌پذیری Local Privilege Escalation نسبت به یک RCE اینترنتی خطر کمتری داشته باشد، اما در حملات واقعی، Privilege Escalation یکی از مراحل بسیار مهم زنجیره نفوذ محسوب می‌شود.

فرض کنید مهاجم از طریق یک آسیب‌پذیری دیگر، Credential سرقت‌شده یا یک سرویس آسیب‌پذیر وارد سرور لینوکسی شده اما تنها سطح دسترسی محدودی دارد.

وجود OVSwrap می‌تواند در سیستم آسیب‌پذیر، مسیر افزایش دسترسی مهاجم از یک User محدود به Root را فراهم کند.

دسترسی Root می‌تواند امکان دستکاری تنظیمات سیستم، دسترسی گسترده به اطلاعات، نصب ابزارهای مخرب، ایجاد Persistence و تلاش برای حرکت جانبی در شبکه را در اختیار مهاجم قرار دهد.

چه سیستم‌هایی در معرض CVE-2026-64531 قرار دارند؟

صرف لینوکسی بودن یک سیستم به این معنی نیست که الزاماً در برابر OVSwrap قابل بهره‌برداری است.

ریسک به نسخه Kernel، وجود کد آسیب‌پذیر، پشتیبانی Open vSwitch، تنظیمات Namespace و سطح دسترسی Processها وابسته است.

برای نمونه، CIQ اعلام کرده است برخی نسخه‌های Rocky Linux 9 و 10 و Kernelهای مرتبط تحت تأثیر قرار می‌گیرند، در حالی که Rocky Linux 8 و برخی شاخه‌های قدیمی‌تر تحت تأثیر مسیر قابل بهره‌برداری مورد بحث قرار ندارند. وضعیت توزیع‌ها و Kernelها می‌تواند متفاوت باشد و مدیران باید Advisory مربوط به توزیع لینوکس خود را بررسی کنند.

Debian نیز وضعیت نسخه‌های مختلف Kernel را به‌صورت جداگانه دنبال می‌کند که نشان می‌دهد نمی‌توان یک حکم واحد برای تمام نسخه‌های لینوکس صادر کرد.

انتشار PoC عمومی؛ چرا باید سریع‌تر اقدام کرد؟

یکی از مهم‌ترین عوامل افزایش ریسک CVE-2026-64531 انتشار عمومی Proof of Concept است.

بر اساس گزارش فنی CIQ، PoC منتشرشده دارای Offsetهای از پیش استخراج‌شده برای حدود 760 Kernel Build است. بنابراین این آسیب‌پذیری را نباید صرفاً یک نقص تئوری در نظر گرفت.

وجود کد بهره‌برداری عمومی معمولاً فاصله میان افشای آسیب‌پذیری و تلاش مهاجمان برای استفاده عملی از آن را کاهش می‌دهد.

به همین دلیل سازمان‌هایی که از Open vSwitch در سرورها، زیرساخت‌های مجازی یا محیط‌های Container استفاده می‌کنند، بهتر است ارزیابی و Patch Management این آسیب‌پذیری را در اولویت قرار دهند.

ارتباط OVSwrap با Container و محیط‌های مجازی

یکی از نکات مهم OVSwrap این است که خطر آن فقط به حساب‌های کاربری عادی محدود نمی‌شود.

طبق تحلیل CIQ، Processی که روی یک Network Namespace تحت کنترل مهاجم دارای CAP_NET_ADMIN باشد نیز می‌تواند به مسیر آسیب‌پذیر دسترسی پیدا کند. این مسئله در ارزیابی امنیت برخی محیط‌های Container اهمیت ویژه‌ای دارد.

به همین دلیل تیم‌های امنیتی و DevOps باید علاوه بر سرورهای لینوکسی سنتی، زیرساخت‌های مبتنی بر Container، Kubernetes، SDN و Virtual Networking را نیز بررسی کنند؛ به‌خصوص در محیط‌هایی که Open vSwitch واقعاً مورد استفاده قرار می‌گیرد.

راهکار مقابله با آسیب‌پذیری OVSwrap

مهم‌ترین اقدام، نصب Kernel اصلاح‌شده ارائه‌شده توسط توزیع لینوکس مورد استفاده سازمان و راه‌اندازی مجدد سیستم در صورت نیاز است.

مدیران شبکه و امنیت بهتر است اقدامات زیر را در اولویت قرار دهند:

• نسخه Kernel و Advisory رسمی توزیع لینوکس را بررسی و Patch اصلاحی CVE-2026-64531 را نصب کنند.
• بررسی کنند که آیا ماژول openvswitch روی سرور بارگذاری شده یا امکان بارگذاری آن وجود دارد.
• در سیستم‌هایی که به Open vSwitch نیازی ندارند، غیرفعال‌سازی یا جلوگیری از بارگذاری ماژول را به‌عنوان Mitigation بررسی کنند.
• دسترسی کاربران محلی و سرویس‌هایی که امکان اجرای کد با سطح دسترسی محدود دارند بازبینی شود.
• مجوز CAP_NET_ADMIN در Containerها و Network Namespaceها با دقت بررسی شود.
• رخدادهای غیرعادی Kernel و Open vSwitch و نشانه‌های تلاش برای Privilege Escalation مانیتور شوند.
• در محیط‌های Cloud، مجازی‌سازی و Container، Patch Management با اولویت بالاتر انجام شود.

غیرفعال کردن Open vSwitch بدون بررسی می‌تواند سرویس‌های وابسته به OVS، OVN یا برخی زیرساخت‌های SDN را مختل کند؛ بنابراین این اقدام باید پس از ارزیابی فنی انجام شود.

آیا غیرفعال کردن User Namespace کافی است؟

یکی از Mitigationهای مطرح‌شده، محدود کردن Unprivileged User Namespace است. این اقدام می‌تواند مسیر متداول بهره‌برداری توسط کاربر محلی بدون دسترسی ویژه را مسدود کند.

اما یک نکته مهم وجود دارد: این روش الزاماً تمام سناریوهای حمله را پوشش نمی‌دهد.

اگر Process یا Container دارای CAP_NET_ADMIN روی Network Namespace تحت کنترل خود باشد، همچنان ممکن است مسیر دیگری برای رسیدن به کد آسیب‌پذیر وجود داشته باشد. بنابراین Patch کردن Kernel راهکار اصلی محسوب می‌شود و Mitigation نباید جایگزین دائمی به‌روزرسانی امنیتی شود.

اصلاح CVE-2026-64531 در هسته لینوکس

اصلاح upstream این آسیب‌پذیری با جلوگیری از پذیرش Nested Action Attributeهایی انجام شده است که اندازه آن‌ها در فیلد nla_len قابل نمایش نیست.

به این ترتیب Kernel اجازه نمی‌دهد ساختار بیش از حد بزرگ با طول truncate‌شده وارد مراحل بعدی پردازش شود. CVE در 27 ژوئیه 2026 در NVD ثبت شده و Linux Kernel نیز اصلاحات مربوط به آن را منتشر کرده است.

جمع‌بندی

آسیب‌پذیری OVSwrap با شناسه CVE-2026-64531 نمونه مهم دیگری از خطر آسیب‌پذیری‌های Local Privilege Escalation در هسته لینوکس است.

اگرچه مهاجم برای بهره‌برداری معمولاً به یک نقطه ورود اولیه یا امکان اجرای کد محلی نیاز دارد، دستیابی به Root می‌تواند یک نفوذ محدود را به تصرف جدی سیستم تبدیل کند.

وجود PoC عمومی و گستردگی Kernel Buildهای پوشش‌داده‌شده توسط آن نیز اهمیت واکنش سریع را افزایش می‌دهد.

بنابراین سازمان‌هایی که از Linux، Open vSwitch، زیرساخت‌های مجازی‌سازی یا Containerها استفاده می‌کنند باید وضعیت CVE-2026-64531 را بررسی کرده و در صورت تأثیرپذیری، Kernel اصلاح‌شده را در سریع‌ترین زمان ممکن نصب کنند.