Стало известно об 18-летней уязвимости в ядре Linux, позволяющей локальному атакующему получить права root и, при определённых условиях, выйти из контейнера на хост-систему.

Уязвимость, получившая название SCTPhantom и идентификатор CVE-2026-64564, была обнаружена исследователями лаборатории Zhuque компании Tencent в реализации протокола Stream Control Transmission Protocol (SCTP) для Linux.

В частности, она затрагивает механизм динамической перенастройки адресов (Dynamic Address Reconfiguration) в SCTP, что приводит к состоянию use-after-free в ядре. По данным Tencent, ошибка присутствует начиная с версии Linux 2.6.25, которая вышла в 2007 или 2008 году.

Исследователям удалось получить root-доступ на нескольких дистрибутивах и версиях ядра, включая Debian 13 с Linux 6.12.95, Ubuntu 24.04 с Linux 6.8.0-134, Rocky Linux 9/RHEL 9 на базе их штатного ядра 5.14, систему семейства OpenCloudOS на ядре 6.6.119, а также исследовательскую систему с Linux 7.2-rc2.

Что касается контейнерных сред, Tencent также продемонстрировала возможность побега из контейнера в хост-систему с использованием той же уязвимости.

В тестовом контейнере использовался стандартный профиль seccomp, без предоставления CAP_NET_ADMIN и CAP_SYS_ADMIN. Из восьми попыток в шести случаях удалось получить root на хост-системе; остальные две завершились ошибкой при обходе указателей, но не привели к панике ядра.

Это не означает, что все Linux-контейнеры автоматически подвержены угрозе побега. Tencent отмечает, что реальная подверженность зависит от множества факторов, включая наличие SCTP, доступ к raw- и packet-сокетам, политику user namespaces, настройки seccomp, назначенные права Linux и политики модулей безопасности Linux (LSM).

Исследователи присвоили SCTPhantom базовую оценку 8,5 из 10 по шкале CVSS 4.0, что относит её к категории высокой степени опасности (High). Для эксплуатации требуется локальный доступ и низкие привилегии, но взаимодействие с пользователем не нужно.

Исправление в основном ядре Linux оказалось намного проще сложности эксплойта. Оно предотвращает удаление транспорта SCTP, удерживаемого для фрагмента ASCONF, при обработке DEL-IP, что устраняет проблему висячих указателей.

Самые ранние исправления для стабильных веток вышли в версиях 6.6.148, 6.12.101, 6.18.42 и 7.1.6. В основной ветке (mainline) исправление присутствует в версии 7.2-rc5. Поставщики могут применить патч к своим сборкам, не обновляя до указанных версий, поэтому необходимо обратиться к официальным рекомендациям по безопасности дистрибутива.

Уязвимость CVE-2026-64564 уже устранена в Debian 13 “Trixie” с помощью ядра безопасности 6.12.101-1. Согласно трекеру безопасности Debian, Debian 12 “Bookworm” с ядром 6.1.180-1 и Debian 11 “Bullseye” с ядром 5.10.262-1 по-прежнему уязвимы, тогда как Forky и Sid считаются исправленными.

Пользователям и администраторам систем, которые могут быть затронуты, следует установить обновления безопасности, предоставленные их дистрибутивом Linux, а не полагаться исключительно на номер версии ядра.