En 18 år gammal sårbarhet i Linuxkärnans SCTP-kod kan ge lokala angripare fullständig rootåtkomst. Säkerhetsforskarna bakom upptäckten har även visat att felet under vissa förutsättningar kan användas för att ta sig ur en container och angripa värdsystemet.
Sårbarheten har fått namnet SCTPhantom och registrerats som CVE-2026-64564. Den finns i Linuxkärnans stöd för nätverksprotokollet SCTP och uppges ha introducerats redan i Linux 2.6.25, som lanserades våren 2008.
Det innebär att felet har kunnat följa med genom nästan två decennier av utveckling, trots att miljontals rader kod har granskats, ändrats och förbättrats under tiden.
Vad är SCTP?
SCTP står för Stream Control Transmission Protocol och är, precis som TCP och UDP, ett protokoll för att överföra information över nätverk.
En viktig skillnad är att SCTP kan använda flera nätverksadresser inom samma anslutning. Om en server har flera nätverkskort eller internetförbindelser kan trafiken fortsätta över en annan väg om den första slutar fungera. Funktionen används bland annat inom telekommunikation och andra system där hög tillgänglighet är viktig.
SCTP kan dessutom lägga till och ta bort IP-adresser medan en anslutning pågår. Det är just i denna dynamiska adresshantering som SCTPhantom finns.
En borttagen nätverksväg som fortfarande används
Linuxkärnan håller reda på de olika nätverksvägar som hör till en SCTP-anslutning. Sårbarheten gör det möjligt att skicka en särskilt konstruerad serie SCTP-kommandon som först tar bort en sådan nätverksväg och därefter försöker använda den igen.
Problemet är att kärnan fortfarande har kvar en pekare till det borttagna objektet.
Det kan jämföras med att ett företag river en byggnad men glömmer att ta bort adressen ur sitt register. När samma mark senare används till något annat fortsätter företagets personal att skicka instruktioner till den gamla adressen. Instruktionerna riskerar då att påverka något helt annat än det ursprungligen var tänkt.
Inom programmering kallas detta för use-after-free. Ett område i minnet har frigjorts, men programmet fortsätter ändå att använda en gammal hänvisning till området.
I ett vanligt program kan ett sådant fel leda till att programmet kraschar. När felet finns i operativsystemets kärna blir konsekvenserna betydligt allvarligare. Kärnan har tillgång till hela datorns minne, all hårdvara och samtliga användarkonton.
En angripare som lyckas kontrollera hur det frigjorda minnet återanvänds kan därför i vissa fall manipulera kärnan och ge sin egen process högsta möjliga behörighet: root.
Fungerade på flera Linuxdistributioner
Forskarna vid Tencents Zhuque Lab lyckades utnyttja sårbarheten och erhålla rootåtkomst på flera olika system. Bland de testade miljöerna fanns:
- Debian 13 med Linux 6.12.95
- Ubuntu 24.04 med Linux 6.8.0-134
- Rocky Linux 9 och RHEL 9-baserade system med leverantörens 5.14-kärna
- ett OpenCloudOS-baserat system med Linux 6.6.119
- en testmiljö med Linux 7.2-rc2
Resultaten visar att sårbarheten inte är begränsad till en enskild Linuxdistribution eller kärngeneration.
Det betyder däremot inte att vem som helst kan angripa samtliga Linuxdatorer direkt över internet. För den demonstrerade lokala attacken måste angriparen redan kunna köra kod på datorn eller i en miljö som har tillgång till den sårbara SCTP-funktionen.
Därför kan en container inte alltid skydda värddatorn
En container kan se ut som en separat dator, men den använder i själva verket samma Linuxkärna som värdsystemet. Tekniker som namnrymder, Linux capabilities och seccomp begränsar vad processerna i containern får göra, men det finns ingen separat kärna mellan containern och värddatorn.
Om en angripare hittar ett exploaterbart fel i själva kärnan kan gränsen mellan containern och värdsystemet därför kringgås.
Tencent genomförde åtta försök att utnyttja SCTPhantom från en container. I sex av försöken fick forskarna rootåtkomst på värddatorn. De två misslyckade försöken stannade vid minneshanteringen utan att krascha kärnan.
Testcontainern använde en standardskapad seccomp-profil och hade varken CAP_NET_ADMIN eller CAP_SYS_ADMIN, två kraftfulla rättigheter som normalt inte bör ges till okända containrar.
Resultatet innebär dock inte att alla Linuxcontainrar automatiskt går att bryta sig ur. Risken påverkas bland annat av:
- om SCTP finns installerat och kan aktiveras
- vilka typer av nätverkssocklar containern får skapa
- hur användarnamnrymder är konfigurerade
- containerns seccomp-regler
- tilldelade Linux capabilities
- säkerhetssystem som AppArmor och SELinux
Containerns körmiljö, version och exakta konfiguration påverkar alltså om attacken över huvud taget är möjlig.
En liten rättning stoppar ett komplicerat angrepp
Det intressanta med SCTPhantom är skillnaden mellan sårbarhetens komplexitet och rättningens storlek.
Attacken kräver avancerad manipulation av kärnans minne. Själva programfelet kan däremot stoppas genom en relativt liten ändring: Linuxkärnan tillåts inte längre ta bort den SCTP-transport som fortfarande används för att behandla det aktuella ASCONF-meddelandet.
Därmed uppstår inte längre den kvarlämnade pekare som attacken bygger på.
Enligt Linuxkärnans CVE-information är de första korrigerade versionerna i berörda stabila utvecklingsgrenar:
- Linux 6.6.148
- Linux 6.12.101
- Linux 6.18.42
- Linux 7.1.6
- Linux 7.2-rc5 i huvudgrenen
Linuxdistributioner använder emellertid ofta egna kärnpaket. En leverantör kan flytta över säkerhetsrättningen till en äldre kärna utan att ändra kärnans huvudsakliga versionsnummer. Därför går det inte alltid att avgöra om en dator är skyddad genom att enbart kontrollera resultatet från uname -r.
Debian 13 ”Trixie” fick exempelvis rättningen genom säkerhetskärnan 6.12.101-1. Vid publiceringen markerade Debians säkerhetsspårare fortfarande de dåvarande kärnpaketen för Debian 12 och Debian 11 som sårbara.
Vad bör Linuxanvändare göra?
Det viktigaste är att installera de säkerhetsuppdateringar som tillhandahålls av den aktuella Linuxdistributionen och därefter starta om datorn så att den nya kärnan verkligen används.
Administratörer bör särskilt kontrollera servrar där flera användare kan köra program, system som kör containrar och miljöer där opålitlig kod behandlas.
Om SCTP inte används kan avstängning av SCTP-modulen minska angreppsytan i väntan på en uppdatering. Det bör dock ses som en tillfällig skyddsåtgärd och inte som en ersättning för att installera en korrigerad kärna.
SCTPhantom visar samtidigt varför även gammal och till synes stabil kod behöver fortsätta granskas. Ett litet misstag i minneshanteringen kan ligga dolt i närmare två decennier – och förvandlas från en bortglömd pekare till en huvudnyckel för hela systemet.
