Σφάλμα 18 ετών στο Linux SCTP επιτρέπει δικαιώματα Root

Ένα σφάλμα τύπου use-after-free στον κώδικα δικτύωσης Linux SCTP μπορεί να μετατραπεί σε πλήρη πρόσβαση root σε έναν host, και οι ερευνητές της Tencent αναφέρουν ότι το χρησιμοποίησαν για να διαφύγουν από ένα container και να φτάσουν στη μηχανή από κάτω.

Δείτε επίσης: CVE-2026-23111: Ένας χαρακτήρας στον Linux kernel επιτρέπει root πρόσβαση

Το σφάλμα, που παρακολουθείται ως CVE-2026-64564 και ονομάστηκε SCTPhantom από τους ευρετές του, αποκαλύφθηκε δημόσια στις 6 Αυγούστου, δύο ημέρες μετά την ανάθεση από την ομάδα CVE του πυρήνα. Δεν είχε εμφανιστεί δημόσιος κώδικας εκμετάλλευσης τη στιγμή της συγγραφής, και το The Hacker News δεν βρήκε καταχώρηση για το σφάλμα στον κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών της CISA έως τις 7 Αυγούστου.

Το σφάλμα είναι τοπικό, όχι απομακρυσμένο, και απαιτεί το Linux SCTP να είναι προσβάσιμο στον στόχο, κάτι που περιορίζει την έκθεση. Όπου αυτές οι συνθήκες ισχύουν, το Tencent Zhuque Lab αναφέρει ότι απέκτησε root στα builds του πυρήνα που δοκίμασε για τα Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 και OpenCloudOS.

Το SCTP είναι ένα πρωτόκολλο μεταφοράς που επιτρέπει σε μία σύνδεση να λειτουργεί μέσω πολλών διαδρομών δικτύου ταυτόχρονα. Ένα συνοδευτικό χαρακτηριστικό, η δυναμική αναδιάταξη διευθύνσεων, επιτρέπει σε έναν ομότιμο να προσθέτει ή να αφαιρεί αυτές τις διευθύνσεις κατά τη διάρκεια της σύνδεσης.

Το σφάλμα είναι ένα μπέρδεμα ταυτότητας: ο πυρήνας ελέγχει ένα αίτημα διαγραφής έναντι της διεύθυνσης πηγής του πακέτου αλλά ενεργεί σε μια διαδρομή που επέλεξε χρησιμοποιώντας μια διαφορετική διεύθυνση μέσα στο μήνυμα. Σύμφωνα με τη συμβουλευτική του πυρήνα, ένα μήνυμα μπορεί να φέρει μια διεύθυνση, μια διαγραφή για την ίδια διεύθυνση και στη συνέχεια μια διαγραφή με wildcard. Αυτή η ακολουθία απελευθερώνει τη διαδρομή, στη συνέχεια επαναχρησιμοποιεί τον νεκρό δείκτη, αφήνοντας τη σύνδεση να δείχνει σε μνήμη που ο πυρήνας έχει ήδη απελευθερώσει.

Η διόρθωση αρνείται μια διαγραφή που στοχεύει στη διαδρομή που επεξεργάζεται το μήνυμα. Το σφάλμα εντοπίζεται στο Linux 2.6.25 το 2008 και υπάρχει σε κάθε έκδοση του πυρήνα που έχει κυκλοφορήσει έκτοτε.

Δείτε επίσης: CVE-2026-53264: AI βοήθησε στην ανάπτυξη Linux root exploit

Η αξίωση της Tencent για διαφυγή από container βασίζεται στις δικές της δοκιμές. Στην αναφορά της, το εργαστήριο αναφέρει ότι μια πρώιμη έκδοση της εκμετάλλευσης χρειαζόταν τα sysctls net.sctp.addip_enable και net.sctp.addip_noauth_enable ενεργοποιημένα, κάτι που έκανε το CAP_NET_ADMIN να φαίνεται ως προαπαιτούμενο. Αργότερα βρήκε μια διαδρομή που αφήνει και τα δύο ανέπαφα ενεργοποιώντας τα χαρακτηριστικά ανά socket.

Το εργαστήριο αναφέρει ότι η δοκιμή διαφυγής του διατήρησε το προεπιλεγμένο προφίλ seccomp και δεν χορήγησε ούτε το CAP_NET_ADMIN ούτε το CAP_SYS_ADMIN. Σύμφωνα με την καταμέτρησή του, έξι από τις οκτώ προσπάθειες έφτασαν σε root στον host.

Κανείς εκτός του εργαστηρίου δεν έχει αναπαράγει κάτι από αυτά και η αναφορά δεν αναφέρει το runtime του container που δοκιμάστηκε. Το ίδιο το εργαστήριο σημειώνει ότι η πρόσβαση σε socket, τα προφίλ seccomp και η πολιτική του user-namespace μετατοπίζουν την έκθεση αλλού. Μια συμβουλευτική openKylin που καλύπτει το ίδιο σφάλμα δεν προχωρά πέρα από το kernel panic και την άρνηση υπηρεσίας.

Ο αριθμός σοβαρότητας είναι επίσης ασταθής. Η Tencent το βαθμολόγησε με 8.5 σύμφωνα με το CVSS v4.0. Το NVD δεν είχε αναθέσει ούτε βαθμολογία ούτε ταξινόμηση αδυναμίας έως τις 7 Αυγούστου.

Οι προμηθευτές συχνά επαναφέρουν διορθώσεις χωρίς να μετακινούνται σε μια νέα upstream έκδοση, οπότε μια συμβολοσειρά έκδοσης πυρήνα από μόνη της δεν θα σας πει αν είστε καλυμμένοι. Ελέγξτε τον παρακολουθητή της διανομής σας. Ένα δεύτερο dangling-transport use-after-free στον ίδιο κώδικα διορθώθηκε στις 6 Αυγούστου, μετά τις σταθερές κυκλοφορίες της 3ης Αυγούστου, οπότε αυτοί οι πυρήνες δεν το φέρουν. Όπου το Linux SCTP δεν είναι απαραίτητο, η απόκρυψη του module αφαιρεί την επιφάνεια επίθεσης εντελώς.

Δείτε επίσης: GhostLock: 15χρονη ευπάθεια Linux για root πρόσβαση

Η Tencent αποδίδει την εύρεση στο Corvus AI, μια πολυ-πρακτορική ερευνητική γραμμή που ανέπτυξε για εργασίες στον πυρήνα, καθιστώντας το SCTPhantom το τελευταίο σε μια σειρά από μακροχρόνια αδρανή σφάλματα του πυρήνα που εμφανίστηκαν με τη βοήθεια μηχανών φέτος, μαζί με το GhostLock τον Ιούλιο. Επίσης, προσγειώνεται την ίδια ημέρα με το Zapscape, μια άσχετη διαφυγή KVM, και οι ίδιες τέσσερις σταθερές κυκλοφορίες φέρουν και τις δύο διορθώσεις.