【缝隙公告】Open vSwitch内核本地权限提升缝隙(CVE-2026-64531)
颁布功夫 2026-08-04一、缝隙概述
Open vSwitch（OVS）是一款开源虚构互换机软件，宽泛利用于云推算、虚构化、软件界说网络（SDN）和容器网络环境 。OVS通过用户空间组件ovs-vswitchd治理网络流规定，并由Linux内核�？橹葱惺莅⒉僮�，支持流量匹配、数据包批改、衔接跟踪、隧路处置等高级网络职能 。
2026年8月4日，Z6人生就是博安全应急响应中心（VSRC）监测到Open vSwitch内核本地权限提升缝隙 。该缝隙由于Open vSwitch在处置用户空间提交的action列表时，未正确校验嵌套Netlink属性长度，导致天生的内部action流超过16位长度字段限度后产生整数截断 。攻击者可利用特造的流规定触发长度回绕，使内核谬误会析攻击者可控数据，并结合conntrack字段机关伪造action，实现内核信息泄露、受限内存写操作，最终提升至root权限 。该缝隙无需现有OVS网桥或运行ovs-vswitchd服务，仅需在指标网络定名空间中具备CAP_NET_ADMIN权限即可触发，在启用非特权用户定名空间的系统中，通常本地用户可能通过创建用户和网络定名空间实现攻击 。成功利用后可能导致系统权限失陷、容器逃逸及违反主机安全治理要求，对云推算、虚构化及容器环境造成严沉安全风险 。
二、影响领域
CVE-2026-64531影响蕴含Open vSwitch（OVS）缝隙蹊径的Linux Kernel版本 。缝隙是否可利用不仅取决于Linux Kernel版本，还取决于Open vSwitch�？槭欠衿粲谩⒖邪媸欠窕厮菀胗泄氐骰�，以及系统是否允许非特权用户定名空间接见 。
官方上游Linux Kernel受影响版本如下：
Linux Kernel 5.15.180 <= Linux Kernel < 5.15.212
Linux Kernel 6.1.132 <= Linux Kernel < 6.1.178
Linux Kernel 6.6.84 <= Linux Kernel < 6.6.145
Linux Kernel 6.12.20 <= Linux Kernel < 6.12.97
Linux Kernel 6.18.0 <= Linux Kernel < 6.18.40
Linux Kernel 7.1.0 <= Linux Kernel < 7.1.5
以下Linux Kernel守护分支已达到性命周期实现（EOL），Linux Kernel官方不变分支未提供对应建复版本：
Linux Kernel 6.13.8 <= Linux Kernel <= 6.13.12
Linux Kernel 6.14.x
Linux Kernel 6.15.x
Linux Kernel 6.16.x
Linux Kernel 6.17.x
Linux Kernel 6.19.x
Linux Kernel 7.0.x
受影响Linux刊行版
凭据公开测试了局，以下Linux刊行版在默认配置或官方通例更新后的内核版本中可能受到CVE-2026-64531影响，蕴含AlmaLinux 9.7/9.8/10.1/10.2、Alpine Linux 3.22/3.23/3.24、Amazon Linux 2023、Arch Linux（linux/linux-lts/linux-zen）、CentOS Stream 9/10、Debian 12/13、Fedora 42/43/44、Gentoo、Kali Linux 2026.1、Linux Mint 22.3、NixOS 24.11/25.05/25.11/26.05、openSUSE Tumbleweed、Pop!_OS 22.04/24.04、Rocky Linux 9/10以及Ubuntu 22.04 Desktop minimal/full和Server版本 。其中Fedora 40/41在初始测试内核中不成利用，但升级至蕴含有关调换的后续内核版本后可能受到影响 。Ubuntu 24.04 Desktop minimal/full及Server版本默认受到AppArmor非特权用户定名空间战术限度，但存在绕过方式实现缝隙利用 。
特定配置下受影响系统
部门Linux系统默认配置下无法直接利用CVE-2026-64531，但在调整安全战术或装置有关组件后可能受到影响，蕴含Arch Linux hardened、Linux Mint 21.3 Cinnamon、Oracle Linux 8/9/10 KVM以及Ubuntu 26.04系列 。Arch Linux hardened默认通过kernel.unprivileged_userns_cl0限度非特权用户定名空间创建，开启该配置后可能受到影响；Linux Mint 21.3默认5.15.0-91-generic内核不受影响，但装置linux-generic-hwe-22.04并运行6.8.0-134-generic内核后可能受到影响；Oracle Linux 8/9/10 KVM默认短缺必要的Open vSwitch和conntrack�？�，装置并加载有关�？楹罂赡苁艿接跋�；Ubuntu 26.04 Desktop、Server及AWS/Azure/GCP/GKE/Oracle云内核默认受到AppArmor战术限度，调整kernel.apparmor_restrict_unprivileged_userns=0后可能受到影响 。
当前测试环境未受影响系统
凭据公开测试了局，以下系统在当前测试环境中未发现CVE-2026-64531利用前提，蕴含Amazon Linux 2 KVM、Debian 11、openSUSE Leap 16.0 OEM GNOME/KDE及Minimal-VM、Rocky Linux 8 GenericCloud、Ubuntu 18.04 Desktop/Server以及Ubuntu 20.04 Desktop minimal/full和Server版本 。上述系统重要由于未引入Open vSwitch action大幼限度移除调换、保留旧版天生action大幼限度或未蕴含缝隙触发蹊径，因而无法复现缝隙利用 。其中Amazon Linux 2和Debian 11基于Linux Kernel 5.10分支，Rocky Linux 8基于4.18内核分支，Ubuntu 18.04基于4.15内核分支，均未蕴含有关调换；Ubuntu 20.04默认5.4 GA内核未引入该调换，测试HWE 5.15.0-139内核同样未蕴含有关回溯补丁 。
三、安全措施
3.1 升级版本
官方已颁布建复补丁，以建复该缝隙
Linux Kernel >= 5.15.212
Linux Kernel >= 6.1.178
Linux Kernel >= 6.6.145
Linux Kernel >= 6.12.97
Linux Kernel >= 6.18.40
Linux Kernel >= 7.1.5
下载链接：
https://www.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.15.212
https://www.kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.1.178
https://www.kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.6.145
https://www.kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.12.97
https://www.kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.18.40
https://www.kernel.org/pub/linux/kernel/v7.x/ChangeLog-7.1.5
3.2 一时措施
在实现内核升级建复前，建议凭据业务需要采取一时防护措施降低风险 。对于不依赖Open vSwitch职能的系统，可卸载并禁用openvswitch有关内核�？�，限度非必要网络职能加载；同时，对于不必要使用非特权用户定名空间的服务器，建议关关该职能，降低通常用户通过该机造触发内核缝隙实现本地权限提升的风险，可通过执行sysctl -w kernel.unprivileged_userns_cl0一时关关非特权用户定名空间职能 。上述措施可能影响依赖Open vSwitch或用户定名空间的业务，执行前应进行业务影响评估 。
3.3 通用建议
定期更新系统补丁，削减系统缝隙，提升服务器的安全性 。
加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面 。
使用企业级安全产品，提升企业的网络安全机能 。
加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度 。
启用强密码战术并设置为定期批改 。
3.4 参考链接
https://heyitsas.im/posts/ovswrap/
https://nvd.nist.gov/vuln/detail/CVE-2026-64531
京公网安备11010802024551号