ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามรายงานการเปิดเผยช่องโหว่ OVSwrap (CVE-2026-64531) ใน Linux Kernel ที่เป็นส่วนหลักของระบบปฏิบัติการ Linux ที่ทำหน้าที่บริหารจัดการทรัพยากรและควบคุมการทำงานระหว่างซอฟต์แวร์กับฮาร์ดแวร์ โดยช่องโหว่ดังกล่าวเกิดขึ้นในส่วนการทำงานของ Open vSwitch ซึ่งเป็นระบบสวิตช์เครือข่ายแบบซอฟต์แวร์ที่ใช้ในระบบคลาวด์ (Cloud), สภาพแวดล้อมเสมือน (Virtualization) และ Container ทำให้เกิดความเสี่ยงที่ผู้โจมตีที่มีสิทธิ์ระดับผู้ใช้งานทั่วไป จะสามารถใช้ช่องโหว่นี้เพื่อยกระดับสิทธิ์ (Privilege Escalation) เป็นผู้ดูแลระบบ (Root) และเข้าควบคุมเครื่องแม่ข่ายได้แบบเบ็ดเสร็จ [1]
1. รายละเอียดช่องโหว่
ช่องโหว่ CVE-2026-64531 (มีคะแนน CVSS v3.1 : 7.8 ) [2] หรือที่เรียกว่าช่องโหว่ OVSwrap เกิดขึ้นในส่วนประมวลผลข้อมูลเครือข่ายของสวิตช์เครือข่ายแบบซอฟต์แวร์ (Open vSwitch Datapath) บน Linux Kernel ข้อผิดพลาดนี้เกิดจากการตรวจสอบขนาดของชุดคำสั่งเครือข่าย (Netlink Attribute) ที่ไม่รัดกุมเพียงพอ เมื่อมีการป้อนข้อมูลที่มีขนาดเกิน 65,535 ไบต์ ค่าความยาวของข้อมูลจะถูกตัดทอน ส่งผลให้ระบบนำข้อมูลไปประมวลผลในตำแหน่งที่ผิดและทำให้หน่วยความจำเสียหาย (Memory Corruption) และอาจถูกนำไปใช้ยกระดับสิทธิ์ภายในระบบได้
ผู้โจมตีที่สามารถเรียกใช้คำสั่งภายในเครื่อง (Local Access) แม้จะมีสิทธิ์เป็นเพียงผู้ใช้งานทั่วไป จะสามารถสร้างพื้นที่จำลองสำหรับผู้ใช้งานและเครือข่าย (User and Network Namespace) ของตนเอง เพื่อหลอกใช้ช่องโหว่นี้ในการยกระดับสิทธิ์ (Privilege Escalation) ขึ้นเป็นผู้ดูแลระบบระดับสูงสุด (Root) ซึ่งช่องโหว่นี้มีความอันตรายตรงที่ระบบไม่จำเป็นต้องเปิดใช้งานกระบวนการ Open vSwitch ค้างไว้ เพียงแค่มีโมดูล (Module) ติดตั้งอยู่ในเครื่อง ระบบก็อาจโหลดโมดูลขึ้นมาทำงานเองโดยอัตโนมัติเมื่อถูกเรียกใช้ ซึ่งปัจจุบันนักวิจัยได้เผยแพร่โค้ดสาธิตการเจาะระบบ (Proof of Concept: PoC) ออกมาสู่สาธารณะแล้ว
2. ผลกระทบ หากผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ได้สำเร็จ อาจส่งผลกระทบต่อระบบของหน่วยงาน ดังนี้
2.1 ผู้ใช้งานภายในระบบที่มีสิทธิ์ระดับเป็นเพียงผู้ใช้งานทั่วไป อาจยกระดับสิทธิ์เป็น root และควบคุมเครื่องแม่ข่ายได้
2.2 ผู้โจมตีอาจเข้าถึง แก้ไข คัดลอก หรือลบข้อมูลและไฟล์สำคัญภายในระบบ
2.3 ผู้โจมตีอาจติดตั้งโปรแกรมหรือเครื่องมือที่ไม่ได้รับอนุญาต แก้ไขการตั้งค่าความปลอดภัย หรือสร้างช่องทางสำหรับกลับเข้าสู่ระบบ
2.4 ระบบ Shared Hosting หรือระบบที่รองรับผู้ใช้งานหลายรายอาจมีความเสี่ยงสูง เนื่องจากบัญชีผู้ใช้งานหรือเว็บไซต์เพียงบัญชีเดียวที่ถูกเข้าถึง อาจถูกใช้เป็นจุดเริ่มต้นในการยกระดับสิทธิ์และส่งผลกระทบต่อเครื่องแม่ข่ายทั้งหมด
2.5 Container หรือ Workload ที่มีสิทธิ์ CAP_NET_ADMIN ภายใน Network Namespace ที่ควบคุมได้ อาจเข้าถึงส่วนการทำงานที่มีช่องโหว่
3. เวอร์ชันที่ได้รับผลกระทบและเวอร์ชันที่ได้รับการแก้ไข
3.1 Linux Kernel 5.15.180 ถึงเวอร์ชันก่อน 5.15.212 ได้รับการแก้ไขในเวอร์ชัน 5.15.212
3.2 Linux Kernel 6.1.132 ถึงเวอร์ชันก่อน 6.1.178 ได้รับการแก้ไขในเวอร์ชัน 6.1.178
3.3 Linux Kernel 6.6.84 ถึงเวอร์ชันก่อน 6.6.145 ได้รับการแก้ไขในเวอร์ชัน 6.6.145
3.4 Linux Kernel 6.12.20 ถึงเวอร์ชันก่อน 6.12.97 ได้รับการแก้ไขในเวอร์ชัน 6.12.97
3.5 Linux Kernel 6.18.0 ถึงเวอร์ชันก่อน 6.18.40 ได้รับการแก้ไขในเวอร์ชัน 6.18.40
3.6 Linux Kernel 7.1.0 ถึงเวอร์ชันก่อน 7.1.5 ได้รับการแก้ไขในเวอร์ชัน 7.1.5
3.7 Linux Kernel รุ่น 6.13 ถึง 6.17 รุ่น 6.19 และรุ่น 7.0 สิ้นสุดการสนับสนุนจากผู้พัฒนาแล้ว และจะไม่ได้รับชุดแก้ไขผ่าน Linux Stable Kernel ในรุ่นดังกล่าว ผู้ดูแลระบบควรเปลี่ยนไปใช้ Kernel รุ่นที่ยังได้รับการสนับสนุนและมีการแก้ไขช่องโหว่แล้ว
4. ข้อเสนอแนะ
4.1 ตรวจสอบ Linux Kernel และ Linux Distribution ที่ใช้งาน พร้อมติดตามประกาศด้านความปลอดภัยจากผู้พัฒนาหรือผู้ให้บริการ และดำเนินการอัปเดตเป็น Kernel ที่ได้รับการแก้ไขโดยเร็ว
4.2 ตรวจสอบว่าระบบมีโมดูล openvswitch ติดตั้งอยู่หรือสามารถโหลดเข้าสู่ Kernel ได้หรือไม่ โดยไม่ควรตรวจสอบเฉพาะสถานะว่าโมดูลกำลังทำงานอยู่ เนื่องจากโมดูลอาจถูกโหลดโดยอัตโนมัติเมื่อมีการเรียกใช้งานส่วนที่เกี่ยวข้อง
4.3 กรณีระบบไม่มีความจำเป็นต้องใช้งาน Open vSwitch ควรพิจารณาป้องกันไม่ให้โมดูล openvswitch ถูกโหลดเข้าสู่ Kernel และนำโมดูลออกจากหน่วยความจำหากกำลังทำงานอยู่ โดยควรทดสอบผลกระทบก่อนดำเนินการกับระบบให้บริการจริง
4.4 ไม่ควรปิดใช้งานโมดูล Open vSwitch โดยทันทีในระบบที่ใช้งาน OVN, OpenStack Neutron, Kubernetes Network Plugin บางประเภท รวมถึงระบบ Virtualization หรือ Software-Defined Networking ที่ใช้ Open vSwitch เนื่องจากอาจส่งผลให้ระบบเครือข่ายหรือบริการหยุดทำงาน ควรเลือกใช้อัปเดต Kernel หรือมาตรการจากผู้พัฒนาระบบเป็นหลัก
4.5 กรณียังไม่สามารถอัปเดตได้ ควรพิจารณาจำกัดการใช้งาน Unprivileged User Namespace เพื่อลดช่องทางการใช้ประโยชน์จากช่องโหว่ของผู้ใช้งานทั่วไป ทั้งนี้ มาตรการดังกล่าวอาจไม่สามารถป้องกัน Container หรือกระบวนการที่มีสิทธิ์ CAP_NET_ADMIN และอาจส่งผลกระทบต่อโปรแกรมที่จำเป็นต้องใช้ User Namespace
4.6 ทบทวนสิทธิ์ของ Container และ Workload โดยหลีกเลี่ยงการกำหนด CAP_NET_ADMIN หากไม่มีความจำเป็น และจำกัดการเข้าถึงเครื่องแม่ข่าย Linux เฉพาะผู้ใช้งานและระบบที่ได้รับอนุญาต
4.7 เฝ้าระวังการสร้าง User Namespace และ Network Namespace ที่ผิดปกติ การโหลดโมดูล openvswitch ที่ไม่สัมพันธ์กับการใช้งาน การเปลี่ยนแปลงบัญชีหรือสิทธิ์ผู้ใช้งาน การแก้ไขไฟล์สำคัญของระบบ ตลอดจนการเรียกใช้งาน Process ด้วยสิทธิ์ root ที่ไม่สอดคล้องกับกิจกรรมปกติ
แหล่งอ้างอิง
[1] https://dg.th/shp5nr0zmd
[2] https://dg.th/ig8qvd4sez