Уязвимость Linux ядра CVE-2026-64564 позволяет получить root-доступ и выйти из контейнера
Исследователи обнаружили в ядре Linux давно существующую уязвимость, которая при определённых условиях позволяет локальному пользователю повысить привилегии до root и покинуть изолированный контейнер, получив доступ к хост-системе. Проблема получила название SCTPhantom и идентификатор CVE-2026-64564. Она затрагивает реализацию протокола SCTP, используемого для передачи данных между сетевыми узлами.
Уязвимость выявили специалисты лаборатории Zhuque Lab, принадлежащей китайской компании Tencent. Ошибка связана с механизмом SCTP Dynamic Address Reconfiguration и приводит к сценарию use-after-free - обращению к уже освобождённой области памяти. Подобные дефекты особенно опасны в коде ядра, поскольку могут привести к выполнению произвольных операций с максимальными системными привилегиями.
Как отмечают исследователи, проблемная логика присутствует в Linux со времён ветки 2.6.25, опубликованной примерно в 2007-2008 годах. Таким образом, SCTPhantom оставалась в ядре около 18 лет. Практические испытания подтвердили возможность получения root-доступа на нескольких дистрибутивах и версиях ядра, включая Debian 13 с Linux 6.12.95, Ubuntu 24.04 с ядром 6.8.0-134, Rocky Linux 9 и RHEL 9 на базе поставляемого разработчиками ядра 5.14, системы семейства OpenCloudOS с Linux 6.6.119, а также тестовую установку Linux 7.2-rc2.
Особую тревогу вызывает подтверждённый сценарий атаки против контейнеров. Tencent продемонстрировала выход из контейнера на хост даже при использовании стандартного профиля seccomp. При этом контейнер не обладал CAP_NET_ADMIN и CAP_SYS_ADMIN - полномочиями, которые часто рассматриваются как потенциально опасные с точки зрения изоляции.
В ходе восьми экспериментов шесть завершились получением root-привилегий уже на хостовой системе. В двух других случаях эксплуатация остановилась на этапе обхода указателей. Эти попытки не привели к панике ядра, однако сам результат показывает, что уязвимость SCTPhantom с возможностью container escape представляет реальную угрозу для инфраструктур, где используются контейнеры и недоверенные локальные пользователи.
При этом нельзя считать, что любой Linux-контейнер автоматически подвержен атаке. Риск зависит от набора настроек: включён ли SCTP, разрешён ли доступ к raw и packet-сокетам, как организованы user namespaces, какие правила заданы в seccomp, выданы ли контейнеру дополнительные capabilities и какие политики применяет Linux Security Module, включая AppArmor или SELinux.
Оценка SCTPhantom по CVSS 4.0 составляет 8,5 балла, что соответствует высокому уровню опасности. Для эксплуатации необходим локальный доступ и невысокие привилегии, но взаимодействие с пользователем не требуется. Это означает, что злоумышленнику может быть достаточно уже имеющейся учётной записи или доступа к скомпрометированному приложению, работающему внутри контейнера.
Исправление в основном дереве Linux оказалось небольшим по объёму, хотя создание рабочего эксплойта значительно сложнее. Патч не позволяет обработке DEL-IP удалить SCTP-транспорт, который в этот момент всё ещё удерживается структурой ASCONF. Благодаря этому устраняется возможность появления висячего указателя и последующего обращения к освобождённой памяти.
Для стабильных веток ядра исправления появились в версиях Linux 6.6.148, 6.12.101, 6.18.42 и 7.1.6. В основной ветке проблема устранена начиная с Linux 7.2-rc5. Однако дистрибутивы могут переносить патч в собственные версии ядра, поэтому администраторам не следует ориентироваться только на номер версии: важнее проверить бюллетень безопасности конкретного поставщика.
В Debian 13 Trixie исправление уже включено в пакет ядра 6.12.101-1. При этом Debian Security Tracker указывает, что Debian 12 Bookworm с ядром 6.1.180-1 и Debian 11 Bullseye с Linux 5.10.262-1 на момент публикации всё ещё числятся уязвимыми. Ветки Forky и Sid обозначены как исправленные. Дополнительные сведения о затронутых системах и состоянии патчей собраны в материале о том, как 18-летняя уязвимость ядра Linux открывает root-доступ.
Администраторам следует выполнить обновление ядра Linux для устранения уязвимостей через штатные репозитории своего дистрибутива. После установки пакетов может потребоваться перезагрузка серверов, виртуальных машин и узлов контейнерной инфраструктуры, чтобы активировалась исправленная версия ядра.
До завершения обновления можно временно сократить поверхность атаки: отключить SCTP там, где он не используется, пересмотреть разрешения на raw и packet-сокеты, ограничить возможности контейнеров и проверить настройки user namespaces. Такие меры не заменяют патч, но способны снизить вероятность успешной эксплуатации.
Случай с SCTPhantom также подчёркивает, что безопасность контейнеров Linux и escape определяется не одной технологией изоляции. Даже стандартный профиль seccomp не гарантирует абсолютную защиту, если уязвимость находится непосредственно в ядре. Поэтому контейнеры следует рассматривать как дополнительный уровень защиты, а не как полную границу безопасности.
Для крупных организаций особенно важен регулярный аудит безопасности Linux-серверов и контейнеров. Проверка должна включать инвентаризацию версий ядра, анализ доступных capabilities, контроль seccomp-профилей, состояние SELinux или AppArmor, перечень разрешённых сетевых протоколов и наличие своевременно установленных обновлений. Комплексная защита Linux от уязвимостей и root-доступа строится именно на сочетании исправленного ядра, минимальных привилегий, сегментации и постоянного мониторинга.
Если обновить ядро немедленно невозможно, следует ограничить доступ потенциально недоверенных пользователей к системе и временно отказаться от запуска SCTP-зависимых служб. После установки исправлений необходимо проверить журналы безопасности и признаки попыток повышения привилегий или выхода из контейнера.
