Open vSwitchの脆弱性「OVSwrap」が判明、一般ユーザーからRoot権限への昇格が可能に
要点
- Linuxカーネルの仮想ネットワーク制御技術である「Open vSwitch（OVS）」に、メモリ破損を引き起こす深刻な脆弱性が発見された。
- 脆弱性「CVE-2026-64531」（通称：OVSwrap）を悪用されると、ローカルシステムにアクセス可能な一般ユーザーが最上位の管理権限であるRoot権限へ昇格する恐れがある。
- 13年前から潜んでいた古いバグが、2025年3月に行われたカーネル仕様の変更によって表面化した。
- 主要なLinuxディストリビューションの多くに影響し、公開された実証コードには約800種類のカーネル向けデータが収録されている。
- すでに修正パッチが提供されており、OVSを使用しないシステム向けにモジュールを無効化する暫定回避策も案内されている。
リード文
Linuxカーネルの仮想スイッチ技術「Open vSwitch（OVS）」において、一般のローカルユーザーが最上位のシステム管理者（Root）権限を奪取できる深刻な脆弱性が明らかになった。「OVSwrap」と名付けられ、「CVE-2026-64531」として追跡されているこの脆弱性は、セキュリティ研究者のAsim Manizada（アシム・マニザダ）氏によって2026年7月28日に公開された。現在、上流のカーネル開発チームや主要なOSベンダーによって修正プログラムの提供が進められている。
本文
脆弱性の概要と侵入経路
今回の脆弱性は、Open vSwitch（仮想的なネットワーク環境を構築して接続するソフトウェア）の「データパス」と呼ばれるカーネル空間で処理を担当する部分に存在する。Manizada氏によると、このバグを悪用するために、攻撃対象のシステム上に事前に構築されたOVSの仮想ブリッジや、OVSを管理するデーモンプログラム「ovs-vswitchd」が稼働している必要はない。また、通常ネットワーク管理に必要な「CAP_NET_ADMIN」と呼ばれる権限もホストレベルでは要求されない。
脆弱性の悪用は、一般ユーザーが「unshare」コマンドを用いてプライベートな「名前空間（システムリソースを論理的に隔離して独立した環境を作るLinuxの機能）」を作成することから始まる。攻撃者はこの隔離環境の内部で「CAP_NET_ADMIN」権限を取得し、そこから脆弱性のある処理経路へアクセスする。
また、対象のLinuxシステムにおいて、該当のカーネルモジュール（必要に応じてロードされるカーネルの拡張プログラム）である「openvswitch」が読み込まれていない状態であっても、通信用の特定の名前解決を行うだけで自動的にロードされてしまう。このため、現在ロードされているモジュールの一覧にOVSが存在しないからといって、システムが安全であるとは限らない。
脆弱性発生のメカニズム
「OVSwrap」の背景には、13年以上前からカーネルコード内に存在していたデータ長さの判定に関する設計不良がある。
Open vSwitchは、パケットの転送ルールを指示するアクション情報を「Netlink属性」と呼ばれるデータ形式で格納する。このデータの長さ情報を保持するフィールド（nla_len）は16ビット（最大65,535バイト）で定義されていた。以前は、アクション全体の総サイズを32キロバイト（KiB）に抑える制限が存在したため、個別の属性データが16ビットの上限を超えることはなかった。
しかし、2025年3月のカーネル更新により、大規模クラウド環境などでのエラーを防ぐ目的でこの32キロバイトのサイズ制限が取り払われた。この結果、以前のサイズ制限によって隠蔽されていた古いバグが露出することになった。
攻撃者が多くのサブアクションを含むリクエストを送信すると、カーネル内での展開によってデータサイズが65,535バイトを超過する。これにより、長さを示す数値が「桁あふれ（ラップ：データの上限値を超えて数値が最小値に戻る現象）」を起こして小さな値になり、カーネルが破損したデータ領域を正常なアクションとして解釈してしまう。Manizada氏は、この現象がメモリ破損を引き起こし、高度なメモリ制御を行うことなく極めて高い再現性で悪用できる「ロジックバグ級の信頼性」があると説明している。
影響範囲と公開された実証コード
本脆弱性の深刻度はCVSSスコアで7.8（高重要度）と評価されている。デフォルト設定のままで多くの主要Linuxディストリビューションが影響を受ける。
Manizada氏のテストによると、AlmaLinux 9/10、Alpine 3.22〜3.24、Amazon Linux 2023、Arch Linux、CentOS Stream 9/10、Debian 12/13、Fedora 42〜44、Gentoo、Kali 2026.1、Linux Mint 22.3、NixOS、openSUSE Tumbleweed、Rocky Linux 9/10、Ubuntu 22.04などでデフォルト状態での悪用が可能であることが確認された。
Ubuntu 24.04や26.04では、標準で名前空間の作成を制限するセキュリティ機能「AppArmor」によって直接の実行はブロックされるが、実証コードの代替手法や設定変更によって依然として実行可能な状態になるという。一方、古いコード設計を残すAmazon Linux 2、Debian 11、Rocky Linux 8、Ubuntu 20.04などはこの脆弱性の影響を受けない。
公開された実証コード（PoC）には、約800種類の具体的なx86-64用カーネルビルドに対応したデータが同梱されている。ただし、この実証コードを実行するとシステムのファイルを書き換えてシェルを開くなど、破壊的な挙動を示すため、検証の際には注意が必要である。
パッチの適用と暫定的な回避策
上流のLinuxカーネル開発チームは、2026年7月24日に修正パッチを公開した。修正が適用された最初の安定版バージョンは、Linux 5.15.212、6.1.178、6.6.145、6.12.97、6.18.40、7.1.5である。サポートが終了している一部のカーネルシリーズ（6.13〜6.17、6.19、7.0）には修正パッチが提供されないため、利用しているディストリビューションの提供情報を確認することが推奨される。
パッチの適用が困難であり、かつシステムにおいてOpen vSwitch機能が不要である場合、一時的な対策としてカーネルモジュールのロードを禁止する設定が有効である。設定ファイル/etc/modprobe.d/ovswrap.confを作成し、以下の設定行を記述することで自動ロードを防ぐことができる。
install openvswitch /bin/false
なお、すでにメモリ上にロードされているモジュールについては自動的に解除されないため、設定追加後にモジュールをアンロードするか、システムを再起動する必要がある。