Sebuah kerentanan serius telah ditemukan dalam kode jaringan Stream Control Transmission Protocol (SCTP) pada sistem operasi Linux. Celah yang telah ada sejak tahun 2008 ini memungkinkan pengguna lokal untuk mendapatkan akses root penuh pada host dan bahkan melakukan pembobolan kontainer. Tim peneliti dari Tencent Zhuque Lab berhasil mendemonstrasikan eksploitasi kerentanan ini, yang diberi nama SCTPhantom dan dilacak sebagai CVE-2026-64564.
Kerentanan ini tergolong dalam kategori *use-after-free*, di mana program mencoba mengakses memori yang telah dibebaskan, yang dapat dimanfaatkan oleh penyerang untuk mengeksekusi kode berbahaya. Meskipun telah ada selama 18 tahun, celah ini baru diungkapkan ke publik pada 6 Agustus, setelah tim CVE kernel menugaskannya. Perbaikan untuk kerentanan ini telah dirilis dan disertakan dalam kernel stabil versi 7.1.6, 6.18.42, 6.12.101, dan 6.6.148, yang dirilis pada 3 Agustus. Oleh karena itu, pengguna yang menjalankan kernel versi lama dengan SCTP yang dapat diakses sangat disarankan untuk segera memperbarui sistem mereka.
SCTPhantom merupakan kerentanan lokal, bukan jarak jauh, dan memerlukan SCTP yang dapat dijangkau pada target, yang membatasi tingkat eksposur. Namun, dalam kondisi yang tepat, peneliti Tencent Zhuque Lab melaporkan bahwa mereka berhasil mendapatkan akses root pada kernel yang mereka uji untuk Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9, dan OpenCloudOS. Temuan ini menunjukkan potensi ancaman yang signifikan terhadap keamanan sistem yang menggunakan kernel Linux versi rentan.
SCTP sendiri adalah protokol transport yang memungkinkan satu koneksi berjalan di atas beberapa jalur jaringan secara bersamaan. Fitur pendampingnya, *dynamic address reconfiguration*, memungkinkan *peer* untuk menambah atau menghapus alamat-alamat tersebut di tengah koneksi. Bug ini muncul karena kekeliruan dalam penanganan identitas: kernel memeriksa permintaan penghapusan terhadap alamat sumber paket, tetapi bertindak berdasarkan jalur yang dipilih menggunakan alamat yang berbeda di dalam pesan. Menurut advisori kernel, satu pesan dapat membawa alamat, permintaan penghapusan untuk alamat yang sama, lalu penghapusan *wildcard*. Urutan ini membebaskan jalur, kemudian menggunakan kembali *pointer* yang sudah tidak valid, meninggalkan koneksi menunjuk ke memori yang telah dilepaskan oleh kernel.
Patch yang diterapkan untuk mengatasi kerentanan ini menolak permintaan penghapusan yang ditujukan pada jalur yang sedang diproses oleh pesan. Bug ini dapat ditelusuri kembali ke Linux 2.6.25 pada tahun 2008 dan telah ada di setiap kernel yang dirilis sejak saat itu. Panjangnya durasi kerentanan ini tanpa terdeteksi menyoroti kompleksitas dan tantangan dalam menemukan bug pada sistem operasi yang terus berkembang seperti Linux.
Klaim Tencent tentang pembobolan kontainer didasarkan pada pengujian internal mereka. Dalam laporan mereka, lab tersebut menyatakan bahwa versi awal eksploitasi mereka memerlukan *sysctl* `net.sctp.addip_enable` dan `net.sctp.addip_noauth_enable` untuk diaktifkan, yang membuat `CAP_NET_ADMIN` terlihat sebagai prasyarat. Namun, mereka kemudian menemukan rute yang tidak memerlukan kedua *sysctl* tersebut dengan mengaktifkan fitur per *socket* sebagai gantinya. Ini menunjukkan kecanggihan eksploitasi yang dikembangkan.
Lab tersebut juga mengklaim bahwa pengujian pembobolan kontainer mereka mempertahankan profil *seccomp* default dan tidak memberikan `CAP_NET_ADMIN` maupun `CAP_SYS_ADMIN`. Menurut hitungan mereka, enam dari delapan percobaan berhasil mencapai akses root pada host. Meskipun demikian, belum ada pihak di luar lab yang mereproduksi temuan ini secara independen, dan laporan tersebut tidak menyebutkan *runtime* kontainer yang diuji. Lab itu sendiri mencatat bahwa akses *socket*, profil *seccomp*, dan kebijakan *user-namespace* semuanya memengaruhi tingkat eksposur. Sebuah advisori openKylin yang mencakup bug yang sama tidak melangkah lebih jauh dari *kernel panic* dan *denial of service*.
Tingkat keparahan kerentanan ini juga masih belum disepakati sepenuhnya. Tencent menilai kerentanan ini dengan skor 8.5 di bawah CVSS v4.0. Namun, National Vulnerability Database (NVD) belum memberikan skor atau klasifikasi kelemahan pada 7 Agustus. Penting untuk diingat bahwa vendor seringkali melakukan *backport* perbaikan tanpa berpindah ke versi *upstream* yang baru, sehingga versi string kernel saja tidak cukup untuk menentukan apakah sistem Anda terlindungi. Disarankan untuk memeriksa pelacak distribusi Anda untuk informasi lebih lanjut. Selain itu, *use-after-free* kedua yang juga terkait dengan *dangling-transport* di kode yang sama telah ditambal pada 6 Agustus, setelah rilis stabil 3 Agustus, sehingga kernel tersebut tidak menyertakannya. Jika SCTP tidak diperlukan, memblokir modul akan menghilangkan permukaan serangan sepenuhnya.
Tencent memberikan kredit penemuan ini kepada Corvus AI, sebuah *pipeline* penelitian multi-agen yang mereka bangun untuk pekerjaan kernel. SCTPhantom menjadi salah satu dari serangkaian kerentanan kernel yang telah lama tidak aktif yang ditemukan dengan bantuan mesin tahun ini, bersama dengan GhostLock pada bulan Juli. Penemuan ini juga bertepatan dengan Zapscape, *KVM escape* yang tidak terkait, dan keempat rilis stabil yang sama membawa kedua perbaikan tersebut, menunjukkan aktivitas yang intens dalam menemukan dan memperbaiki kerentanan kernel.
