Lỗ hổng 18 năm tuổi trong Linux SCTP cho phép leo thang đặc quyền và thoát khỏi container

Một lỗ hổng bảo mật nghiêm trọng thuộc dạng use-after-free trong mã nguồn mạng SCTP của Linux vừa được công bố, gây lo ngại lớn khi nó đã tồn tại suốt 18 năm qua. Lỗ hổng này, được định danh là CVE-2026-64564 và có tên gọi là SCTPhantom, cho phép người dùng cục bộ leo thang đặc quyền lên root và thậm chí thoát khỏi môi trường container để chiếm quyền kiểm soát máy chủ vật lý.

Chi tiết về lỗ hổng SCTPhantom

Được phát hiện bởi đội ngũ nghiên cứu từ Tencent Zhuque Lab, lỗ hổng này xuất phát từ cách xử lý không chính xác các yêu cầu cấu hình lại địa chỉ động trong giao thức SCTP. Cụ thể, nhân Linux thực hiện kiểm tra yêu cầu xóa dựa trên địa chỉ nguồn của gói tin, nhưng lại thực thi hành động trên một đường truyền (path) được chọn bằng một địa chỉ khác bên trong thông điệp đó. Sự nhầm lẫn này dẫn đến việc giải phóng bộ nhớ nhưng vẫn giữ lại con trỏ, tạo điều kiện cho lỗi use-after-free.

Theo báo cáo, lỗ hổng này đã hiện diện từ phiên bản Linux 2.6.25 (năm 2008). Trong các thử nghiệm thực tế, các nhà nghiên cứu đã thành công trong việc chiếm quyền root trên nhiều bản phân phối phổ biến như Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 và OpenCloudOS.

Nguy cơ thoát khỏi container

Điều đáng chú ý là khả năng thoát khỏi container (container escape) mà không cần các đặc quyền cao như CAP_NET_ADMIN hay CAP_SYS_ADMIN. Mặc dù các kịch bản thử nghiệm vẫn phụ thuộc vào cấu hình cụ thể của hệ thống, nhưng đây là một cảnh báo lớn đối với các môi trường cloud và hạ tầng ảo hóa sử dụng Linux kernel cũ.

Khuyến nghị khắc phục

Các bản vá đã được phát hành trong các phiên bản kernel ổn định: 7.1.6, 6.18.42, 6.12.101 và 6.6.148 vào ngày 3 tháng 8 năm 2026. Người dùng và quản trị viên hệ thống cần thực hiện các bước sau:

• Kiểm tra phiên bản kernel hiện tại và cập nhật lên bản vá mới nhất từ nhà cung cấp phân phối (distribution).
• Nếu không sử dụng giao thức SCTP, hãy vô hiệu hóa module này để giảm thiểu bề mặt tấn công (attack surface).
• Lưu ý rằng một lỗ hổng use-after-free thứ hai liên quan đến transport cũng đã được vá vào ngày 6 tháng 8, do đó việc cập nhật lên phiên bản mới nhất là bắt buộc.

Hiện tại, chưa có mã khai thác (exploit) công khai nào được ghi nhận, tuy nhiên với tính chất nguy hiểm của lỗ hổng, việc ưu tiên cập nhật hệ thống là ưu tiên hàng đầu để bảo vệ hạ tầng khỏi các cuộc tấn công leo thang đặc quyền.

Nguồn tham khảo: The Hacker News