Исследователи Tencent обнаружили в сетевом коде Linux уязвимость типа use-after-free, которая присутствовала в ядре с 2008 года. Баг, получивший название SCTPhantom, позволяет локальному пользователю получить root-права. Кроме того, во время тестов специалистам удалось использовать его для побега из контейнера.
Уязвимости присвоили идентификатор CVE-2026-64564. Сообщается, что она связана с имплементацией транспортного протокола SCTP (Stream Control Transmission Protocol), который поддерживает multihoming, то есть одно соединение может использовать несколько адресов и сетевых путей между узлами. Проблема затрагивает механизм динамической реконфигурации адресов SCTP, который позволяет добавлять и удалять их во время активного соединения.
В Tencent оценили серьезность CVE-2026-64564 на 8,5 балла по шкале CVSS, однако NVD еще не присвоила багу собственную оценку.
По данным специалистов, корень проблемы заключается в том, что при обработке SCTP-сообщений ASCONF ядро использует разные адреса для проверки и выбора сетевого пути. Запрос DEL-IP проверяется относительно IP-адреса источника пакета, тогда как сам транспорт выбирается исходя из адреса, указанного внутри ASCONF-сообщения.
В результате атакующий может отправить специально подготовленное сообщение с последовательностью [Address L] [DEL-IP L] [DEL-IP 0.0.0.0]. Сначала ядро удаляет связанный с адресом L транспорт, а затем wildcard-операция повторно использует сохраненный указатель на уже освобожденный объект. В результате SCTP-соединение продолжает ссылаться на освобожденную память, что и приводит к возникновению use-after-free.
SCTPhantom присутствует в коде Linux начиная с версии 2.6.25, вышедшей в 2008 году, однако серьезность проблемы снижается в силу того, что для эксплуатации CVE-2026-64564 требуется локальный доступ, а SCTP должен быть доступен в целевой системе. Однако исследователи пишут, что успешно получили root-права в Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 и OpenCloudOS.
Кроме того, специалисты продемонстрировали, что CVE-2026-64564 можно использовать для побега из контейнера. Изначально эксплоит требовал включения параметров net.sctp.addip_enable и net.sctp.addip_noauth_enable, из-за чего использование CAP_NET_ADMIN поначалу считалось необходимым условием для атаки. Однако позже исследователи нашли способ активировать нужные возможности SCTP на уровне отдельного сокета, не меняя эти sysctl-параметры. В итоговых тестах контейнер работал со стандартным профилем seccomp и без CAP_NET_ADMIN и CAP_SYS_ADMIN, и шесть из восьми попыток атаки завершились успешным получением root-прав на хосте.
При этом в Tencent не уточнили, какой именно контейнерный рантайм они использовали. Также авторы исследования подчеркивают, что возможность эксплуатации зависит от того, разрешен ли в контейнере доступ к SCTP-сокетам, а также от настроек seccomp и конфигурации user namespaces.
Исправление уже вошло в версии ядра 7.1.6, 6.18.42, 6.12.101 и 6.6.148, выпущенные 3 августа 2026 года.
