Tails 7.10.1 chiude falle critiche, OVSwrap porta utenti Linux a root

🛡️ Executive Summary

• Tails 7.10.1 aggiorna kernel ed Expat contro vulnerabilità capaci di consegnare privilegi amministrativi ad applicazioni compromesse.
• OVSwrap corrompe la memoria del datapath Open vSwitch e permette a un utente locale di ottenere root su numerose distribuzioni Linux.
• Gli utenti devono installare Tails 7.10.1 e i kernel corretti dai vendor oppure disabilitare temporaneamente Open vSwitch se non necessario.

Tails 7.10.1 arriva come aggiornamento di emergenza per correggere vulnerabilità nel kernel Linux e nella libreria Expat che potrebbero consentire a un’applicazione compromessa di ottenere privilegi amministrativi e mettere in pericolo l’anonimato dell’utente. Parallelamente, la nuova falla OVSwrap, identificata come CVE-2026-64531, espone numerose distribuzioni Linux a un’escalation locale fino a root attraverso il datapath kernel di Open vSwitch. I due sviluppi riguardano superfici differenti, ma convergono sullo stesso rischio: una compromissione inizialmente confinata al browser, a un’applicazione o a un account locale può attraversare il confine dei privilegi e consegnare il controllo completo del sistema.

Tails 7.10.1 protegge l’anonimato da due catene di escalation

Il progetto Tails definisce la versione 7.10.1 un rilascio di emergenza e invita tutti gli utenti ad aggiornare senza attendere il normale ciclo di pubblicazione. La distribuzione porta il kernel alla versione 6.12.100, correggendo CVE-2026-64560, vulnerabilità che potrebbe permettere a un processo già compromesso come Tor Browser di ottenere privilegi amministrativi. In uno scenario operativo, una pagina malevola dovrebbe prima sfruttare una falla separata nel browser e successivamente concatenarla al difetto del kernel: una volta raggiunto il livello amministrativo, l’attaccante potrebbe controllare l’intero ambiente Tails, osservare le attività dell’utente e tentare di comprometterne l’anonimato. Il rischio non è puramente teorico per chi utilizza la distribuzione contro avversari dotati di capacità elevate, perché i browser rappresentano una delle principali superfici di ingresso e una sandbox efficace deve impedire che il primo exploit raggiunga il sistema sottostante. La criticità di questo modello era già emersa con la vulnerabilità capace di compromettere Firefox e Tor Browser attraverso una pagina malevola. Nelle note ufficiali di Tails 7.10.1 il progetto precisa di non conoscere casi di sfruttamento attivo e considera l’attacco improbabile, ma compatibile con le risorse di un governo o di una società specializzata in intrusioni. L’aggiornamento segue Tails 7.10, che aveva rafforzato la cancellazione dei dati allo spegnimento, mostrando come la sicurezza della distribuzione dipenda sia dalle protezioni progettate internamente sia dalla rapidità con cui vengono integrate le correzioni del kernel e delle librerie ereditate da Debian.

Expat espone LibreOffice, Audacity e Git ai privilegi amministrativi

Tails 7.10.1 aggiorna anche Expat alla versione 2.8.2 per integrare le correzioni distribuite attraverso l’advisory Debian DSA-6404-1. Expat è una libreria utilizzata per analizzare contenuti XML e può essere richiamata indirettamente da numerose applicazioni presenti nella distribuzione. Secondo il progetto, un attaccante potrebbe preparare un file malevolo e convincere la vittima ad aprirlo con programmi come LibreOffice, Audacity o Git, sfruttando successivamente le vulnerabilità della libreria per ottenere privilegi amministrativi. Anche in questo caso l’impatto finale non si limita al crash dell’applicazione: il passaggio a root potrebbe consentire il controllo dell’ambiente live e l’accesso ai dati trattati durante la sessione. Tails non segnala attacchi osservati nel mondo reale, ma considera il rischio sufficientemente grave da giustificare una release immediata. Le immagini USB e gli aggiornamenti automatici risultano inoltre 70 MB più piccoli grazie alla rimozione di firmware inutilizzato, mentre i pacchetti per gli upgrade automatici vengono compressi con zstd per ridurre i tempi di avvio. Gli utenti delle versioni dalla 7.0 in poi possono effettuare l’aggiornamento automatico conservando il Persistent Storage; chi procede con una nuova installazione sulla stessa chiavetta deve invece considerare che lo spazio persistente verrà cancellato. La scelta più sicura consiste nell’aggiornare l’installazione esistente e verificare il corretto avvio prima di utilizzare nuovamente Tails per attività sensibili.

OVSwrap sfrutta un contatore a 16 bit nel kernel Linux

La seconda emergenza riguarda OVSwrap, vulnerabilità di corruzione della memoria nel datapath kernel di Open vSwitch, infrastruttura di switching software utilizzata in ambienti cloud, virtualizzati, containerizzati e software-defined networking. Il problema nasce dal formato degli attributi Netlink impiegati per memorizzare le azioni generate da OVS: il campo nla_len utilizza 16 bit e può quindi rappresentare una lunghezza massima di 65.535 byte. Prima della correzione, Open vSwitch permetteva a una singola azione annidata di superare quella soglia senza verificare che la dimensione finale potesse essere contenuta nel campo. Un attaccante può inserire centinaia di sottoazioni conntrack dentro un’azione CLONE, costringendo il kernel a espanderle fino a superare il limite. Quando la lunghezza viene scritta nel campo a 16 bit, il valore si azzera parzialmente e riparte da una cifra ridotta. Il parser utilizza quindi la lunghezza troncata, riprende l’elaborazione nel mezzo dei dati controllati dall’attaccante e interpreta byte predisposti come nuove azioni OVS. Nella ricostruzione tecnica pubblicata dal ricercatore Asim Manizada, la posizione del nuovo punto di parsing è deterministica all’interno dello stesso buffer e non richiede le complesse tecniche di heap grooming tipiche degli exploit di memoria. OVSwrap deriva da un’assegnazione insicura presente da circa tredici anni, rimasta difficilmente sfruttabile finché un precedente limite di 32 KiB conteneva la dimensione delle azioni generate. La rimozione di quel limite nel marzo 2025 ha eliminato un problema di affidabilità, ma ha contemporaneamente reso raggiungibile il wraparound.

Un utente senza privilegi può creare il proprio datapath vulnerabile

La gravità della falla dipende dalla possibilità di raggiungere il codice vulnerabile senza disporre inizialmente di privilegi amministrativi sull’host. Su un sistema che abilita gli unprivileged user namespace, un normale utente può creare un nuovo user namespace e un network namespace attraverso unshare -Urn, ottenendo CAP_NET_ADMIN all’interno di quell’ambiente isolato. Questo privilegio è sufficiente per creare un datapath Open vSwitch privato e inviare le azioni che innescano il wraparound. Non servono un bridge OVS già configurato, il demone ovs-vswitchd in esecuzione o CAP_NET_ADMIN nel namespace principale.

Anche un modulo Open vSwitch installato ma non ancora caricato può essere attivato automaticamente quando il processo risolve il nome della relativa famiglia Generic Netlink, perciò l’assenza del modulo nell’output di lsmod non dimostra che il sistema sia al sicuro. L’exploit pubblico concatena la corruzione della memoria per ottenere un indirizzo del kernel, leggere memoria arbitraria e modificare le credenziali di un processo host fino a impostare fsuid e fsgid a zero. Il risultato è una shell root e la modifica dei file sudoers, ma il proof of concept è esplicitamente distruttivo e lascia processi e strutture OVS attivi per evitare un teardown instabile. Il meccanismo si inserisce nello stesso scenario delle vulnerabilità RefluXFS e snap-confine capaci di portare utenti locali a root e degli exploit Pedit COW e DirtyClone contro la page cache del kernel: una prima compromissione limitata può trasformarsi nel controllo completo dell’host quando il kernel espone una primitiva affidabile di escalation.

Le patch dipendono dal kernel distribuito dai singoli vendor

La correzione upstream rifiuta le azioni annidate la cui dimensione supera il valore massimo rappresentabile nel campo nla_len e gestisce la liberazione delle risorse già allocate durante la costruzione della struttura. Le prime versioni stabili corrette sono Linux 5.15.212, 6.1.178, 6.6.145, 6.12.97, 6.18.40 e 7.1.5. Questi numeri non devono però essere utilizzati come unico criterio di verifica, perché Debian, Ubuntu, Red Hat, SUSE e le altre distribuzioni applicano backport e modifiche downstream mantenendo versioni nominalmente precedenti. Gli amministratori devono quindi consultare il tracker del proprio vendor e installare il pacchetto kernel indicato come corretto. I test pubblicati dal ricercatore hanno mostrato configurazioni sfruttabili su numerosi sistemi, tra cui Debian 12 e 13, Fedora 42-44, Arch Linux, Amazon Linux 2023, AlmaLinux 9 e 10, Rocky Linux 9 e 10, Kali Linux 2026.1, Linux Mint 22.3, Alpine Linux 3.22-3.24 e Ubuntu 22.04. Il test non rappresenta una lista completa e l’esposizione effettiva dipende dal kernel del vendor, dalla presenza del modulo, dai namespace e dai componenti conntrack disponibili. In assenza di una patch, chi non utilizza Open vSwitch può bloccare il caricamento del modulo; se il componente è già residente, deve essere rimosso oppure il sistema deve essere riavviato dopo avere configurato il blocco. Disabilitare gli user namespace non privilegiati interrompe il percorso sfruttato dal PoC per un normale utente locale, ma non elimina necessariamente il rischio per container o processi che possiedono già CAP_NET_ADMIN su un namespace controllabile. La falla conferma il rilievo delle escalation locali individuate nel kernel Linux attraverso l’analisi assistita dall’intelligenza artificiale: sui server condivisi, una vulnerabilità applicativa o un account hosting compromesso possono diventare il primo passaggio verso il controllo dell’intera macchina.