SCTPhantomと呼ばれるこの脆弱性はCVE-2026-64564として追跡されており、Stream Control Transmission Protocol（SCTP）のDynamic Address Reconfiguration実装に存在する深刻度の高いLinuxカーネルのuse-after-free脆弱性です。
Hacking& Cracking
Tencent Zhuque LabのCorvus AIプロジェクトの研究者らによると、ローカル攻撃者はこの欠陥を悪用してroot権限へのエスカレーションが可能で、特定の構成下ではコンテナからホストへの脱出も行えるとしています。
この問題はSCTPのASCONF（Address Configuration Change）処理ロジックに影響します。SCTPはマルチホーミングをサポートしており、1つのアソシエーションが複数のネットワークパスを維持できます。
18年前から存在するLinuxカーネルのSCTP脆弱性
Linuxはこれらのパスをstruct sctp_transportオブジェクトで追跡しており、primary_pathやactive_pathといったアソシエーションレベルのポインタは、有効かつ生存中のトランスポートを参照していることが前提となっています。
SCTPhantomは、細工された順序付きASCONFシーケンスをSCTPが処理する際に発生します。この処理によってトランスポートオブジェクトが削除される一方で、アソシエーション内には古い（無効な）参照が残ってしまうのです。その後のソケット操作がこの解放済みオブジェクトにアクセスすると、use-after-free状態が発生します。
根本原因は、DEL-IP操作中の識別子（アイデンティティ）処理の不整合にあります。脆弱性のある処理フローでは、IPv4パケットの送信元アドレスと、ピアのトランスポートを選択するために使われるSCTPアドレスパラメータとを区別して扱っています。
攻撃者が制御するASCONFメッセージは、送信元検証には一方のアドレスを使いながら、後続処理で対象となるトランスポートの選択には別のアドレスを使うことができるとされています。
削除操作を注意深く順序立てて実行することで、選択されたトランスポートを削除させ、その後ワイルドカード削除パスがそのキャッシュされたポインタを再利用するよう仕向けることが可能です。これにより、primary_pathとactive_pathが解放済みメモリを指したままになる可能性があります。
特筆すべきは、この脆弱性の原因となっているワイルドカード処理の挙動がLinux 2.6.25まで遡ることです。つまりSCTPhantomは約18年前から存在する脆弱性ということになります。
この脆弱性の悪用には、依然としてローカルアクセスと、SCTPの利用可否や該当ソケット機能への到達可能性といった環境条件が必要です。
Corvus AIの研究者らはこのクラッシュを発展させ、複数のテスト対象Linuxディストリビューションおよびカーネルバージョンにおいて、実証済みのローカル権限昇格チェーンを構築しました。
今回の研究では、制御されたヒープの再割り当てと、古くなったSCTPパス参照を利用することで、カーネルメモリの情報漏えいを引き起こし、続いてカーネルオブジェクト間の関係性を操作しています。
この手法は、従来型のユーザー空間シェルコードやReturn-Oriented Programming（ROP）チェーンに依存するのではなく、既存のカーネルコードパスを利用して資格情報（クレデンシャル）変更機能を呼び出す点が特徴です。
Tencentは検証において、root権限のみアクセス可能なファイルシステムへのアクセスと、root所有のファイル作成に成功したことでこの侵害を実証しました。テスト対象のシステムには、Debian 13、Ubuntu 24.04、Rocky Linux 9/RHEL 9派生システム、OpenCloudOS系のターゲット、そしてLinux 7.2リリース候補版が含まれていたとされています。
ベンダー固有のカーネルバックポートが存在するため、管理者は影響範囲を評価する際、表示されているカーネルバージョンのみに頼るべきではありません。研究者らはまた、テスト構成の一つでコンテナからホストへの脱出も実証しています。
コンテナはホストとカーネルを共有しているため、コンテナ内部からのSCTPカーネルエクスプロイトの成功は、コンテナの名前空間内にとどまらず、その下層にあるホスト自体を侵害する可能性があります。実証されたテストでは、デフォルトのseccompプロファイルが維持されており、コンテナにはCAP_NET_ADMINやCAP_SYS_ADMINは付与されていませんでした。
ただし、実際に悪用可能かどうかは展開環境によって大きく異なります。SCTPのサポート状況、パケットソケットの権限設定、ユーザー名前空間の設定、Linux Security Module（LSM）のポリシー、コンテナランタイムの制限、そしてホストカーネルのパッチ適用状況など、さまざまな要因が実運用上の悪用可能性に影響します。
Securitytraining courses
対策
Linuxの上流では、コミット9b2854f86f0bでこの欠陥を修正しました。この修正により、ASCONFチャンクのために保持されているトランスポートの削除が拒否されるようになります。最初にこの修正が適用されたリリースには、Linux 6.6.148、6.12.101、6.18.42、7.1.6、そしてメインラインの7.2-rc5が含まれます。
各組織は、使用しているディストリビューションのカーネルアップデートを速やかに適用し、ベンダーのバックポート状況を確認したうえで、影響を受けるホストを再起動する必要があります。多層防御の対策として、管理者はSCTPが不要な環境では無効化し、信頼できないローカルワークロードを制限し、ネットワークおよびパケットソケットの権限を公開しているコンテナポリシーを見直すことが推奨されます。
Detect, investigate, and respond faster with in-browser data inspection from ANY.RUN. Gain complete phishing visibility to strengthen your SOC and reduce MTTR
翻訳元: https://gbhackers.com/18-year-old-linux-kernel-sctp-vulnerability/
