Новоразкрита уязвимост в ядрото на Linux, наречена SCTPhantom и проследявана като CVE-2026-64564, позволява на атакуващите да ескалират правата си от привилегирован локален достъп до пълни root права и дори да избягат от контейнери, за да компрометират хоста под тях.
Несъвършенството представлява грешка от типа „use-after-free“ (използване на памет след освобождаването ѝ) във функцията за динамично реконфигуриране на адреси на SCTP протокола в ядрото. Забележително е, че първопричината за нея се проследява до код, въведен в Linux 2.6.25 през декември 2007 г., което означава, че е съществувала близо 18 години, преди да бъде открита.
Уязвимостта се намира в начина, по който ядрото обработва ASCONF блокове – механизъм, дефиниран в RFC 5061, който позволява на SCTP асоциациите да добавят, премахват или реконфигурират мрежови пътища в движение.
Проблемът произтича от несъответствие в идентичността: ядрото валидира операция за изтриване на IP адрес (DEL-IP), като използва изходния адрес на пакета, докато отделен кеширан указател разчита на параметъра на адреса, използван за избор на действителния мрежов път (транспорт).
Чрез създаване на специално подреден пакет от ASCONF команди, като например указване на адрес, последващо изтриване на същия адрес и изпращане на команда за изтриване по подразбиране, атакуващият може да подведе ядрото да премахне транспортен път, докато в указателите на активния и първичния път на асоциацията остава стара препратка към него. Последваща сокет операция след това се насочва към тази освободена памет, което води до състояние на „use-after-free“.
Специалисти по сигурността от екипа за сигурност на TencentOS, използвайки автономна система за изследване на уязвимости, наречена Corvus AI, са превърнали тази първична грешка в паметта в пълна верига за ескалация на привилегии. Експлойтът възстановява освободения транспорт, използвайки сокет буфер за пакети, като при този процес изтича адрес от паметта на ядрото.
Това изтичане позволява многократно четене на четири байта от ядрото, което изследователите са използвали за преодоляване на KASLR защитата чрез проверка на таблицата с дескриптори на прекъсванията. Оттам се експлоатира втора уязвимост от тип „use-after-free“ с контролирани от атакуващия данни за SCTP ключ за автентификация, позволяваща на атакуващия да изгради фалшив градиент на обекти в ядрото, който в крайна сметка задейства функцията commit_creds и предоставя глобални root права, без необходимост от шелкод или традиционна ROP верига.
Изследователите са отишли още по-далеч, демонстрирайки, че същият дефект позволява бягство от контейнер към хоста. Чрез използване на SCTP опции за всеки сокет, вместо системни настройки (sysctl), експлойтът избягва необходимостта от повишени права и успешно пробива контейнери със стандартни seccomp профили при шест от осем опита, като в крайна сметка задейства процес от тип „usermode-helper“, работещ в първоначалното пространството от имена на хоста.
Веригата от експлойти е валидирана в широк спектър от среди, включително Ubuntu 24.04, Debian 13, Rocky Linux 9 и множество версии на ядрото от 5.14 до тестовата версия 7.2 release candidate, като във всеки тестван случай са придобити root права.
Според скалата CVSS v4.0 уязвимостта има базова оценка от 8.5, определяна като висока степен на сериозност (High), което отразява съчетанието от ниска сложност на атаката и голямо въздействие върху поверителността, целостта и наличността на данните.
Официалното обновяване, внедрено като commit 9b2854f86f0b, отстранява уязвимостта, като отхвърля всяка заявка DEL-IP, насочена към транспорт, който все още се реферира от текущия ASCONF блок.
Корекциите са пренесени и към по-стари стабилни клонове на ядрото, включително 6.6.148, 6.12.101, 6.18.42 и 7.1.6. Екипът по сигурността на ядрото на Linux официално обяви CVE-2026-64564 на 4 август 2026 г. след поверително разкриване, започнало на 12 юли.
Системните администратори, управляващи ядра с активиран SCTP, особено в споделени или контейнеризирани среди, трябва незабавно да приоритетизират инсталирането на корекции за сигурност до коригираните версии на ядрото, предвид демонстрираната лесна експлоатация и сериозността на последиците.