Eine Use-after-free-Schwäche im Linux-Netzwerkcode für SCTP (Stream Control Transmission Protocol) sorgt derzeit für Aufmerksamkeit: Unter passenden Voraussetzungen soll sie lokalen Nutzern ermöglichen, Root-Rechte auf dem Host zu erlangen – und damit auch Container-Umgebungen zu umgehen. Die Schwachstelle trägt den Namen SCTPhantom und ist als CVE-2026-64564 dokumentiert.
Der Punkt ist besonders wichtig: Die Lücke ist lokal und nicht remote verwertbar. Dennoch lohnt sich schnelles Handeln, weil der Fehler bereits seit 2008 im Code steckt und nur bestimmte Systeme durch die nötigen Randbedingungen exponiert sind.
Was ist die Linux SCTP Schwachstelle?
Bei der Linux SCTP Schwachstelle handelt es sich um einen Fehler in der Behandlung von Nachrichten innerhalb des SCTP-Stacks. Laut den Berichten geht es um eine Verwechslung von Identitäten: Der Kernel prüft eine Löschanfrage gegen eine Quelladresse aus dem Kontext der Anfrage, verarbeitet die Operation aber auf Basis eines Pfads, der über eine andere Adresse aus derselben Nachricht ausgewählt wurde.
Durch eine spezielle Abfolge von Informationen in einer einzelnen Nachricht kann der Kernel einen Pfad freigeben und anschließend einen bereits freigegebenen Zeiger (Dangling Pointer) wiederverwenden. Genau diese Use-after-free-Situation führt dazu, dass die Verbindung auf Speicher zeigt, der vom Kernel bereits freigegeben wurde.
Warum betrifft das vor allem bestimmte Setups?
Die Schwachstelle ist nicht als typischer Remote-Exploit gedacht. Sie erfordert, dass SCTP auf dem Ziel erreichbar ist. Damit sinkt die allgemeine Angriffsfläche, weil nicht jeder Host SCTP überhaupt extern oder intern anbietet.
Außerdem ist SCTP kein “Standard für jeden Dienst”. SCTP wird eingesetzt, um mehrere Netzwerkpfade für eine Verbindung gleichzeitig zu nutzen. Eine verwandte Funktion, die dynamische Adress-Neukonfiguration, erlaubt es, Adressen während einer Verbindung hinzuzufügen oder zu entfernen. In genau diesem Themenfeld entsteht die konkrete Angriffslogik.
Praktisch bedeutet das: Wenn SCTP auf Ihrem System gar nicht genutzt wird, lassen sich Risiken oft deutlich reduzieren.
Fix ist bereits verfügbar: welche Kernel-Versionen schützen
Gute Nachricht für Admins: Die Korrektur ist bereits in stabilen Kernel-Versionen enthalten und wurde mit Releases vom 3. August ausgeliefert. Betroffen sind demnach Versionen, die älter sind als die folgenden Fixes:
- 7.1.6
- 6.18.42
- 6.12.101
- 6.6.148
Wer einen älteren Kernel betreibt und SCTP erreichbar ist, sollte umgehend aktualisieren. Wichtig ist dabei ein weiterer Punkt: Distributionen backportieren Fixes häufig, ohne eine neue Upstream-Nummer zu übernehmen. Die Kernel-String-Nummer allein ist daher kein verlässlicher Indikator. Prüfen Sie stattdessen den Tracker Ihrer Distribution.
CVE-2026-64564: Ablauf der Offenlegung und Status öffentlicher Exploits
Die Schwachstelle wurde als CVE-2026-64564 erfasst und öffentlich gemacht. Die öffentliche Offenlegung erfolgte demnach am 6. August, nachdem das Kernel-CVE-Team die Zuordnung zwei Tage zuvor vorgenommen hatte.
Zum Zeitpunkt der Berichterstattung gab es keinen öffentlich bekannten Exploit-Code. Zudem wurde kein Eintrag in der CISA-Liste “Known Exploited Vulnerabilities” gefunden (Stand: 7. August). Das heißt nicht, dass ein Missbrauch ausgeschlossen ist – aber es deutet darauf hin, dass noch keine breite, allgemein verfügbare Angriffsmethode vorlag.
Container-Umgehung: was die Tencent-Forscher berichten
Besonders aufmerksam macht ein Teil der Forschung: Ein Team habe die Schwachstelle so kombiniert, dass es aus einer Containerumgebung heraus bis zum darunterliegenden Host gelangt sein soll. Grundlage dafür war die eigene Testauswertung eines Sicherheitslabors.
In den beschriebenen Experimenten sollen dabei für das Erreichen von Root in den untersuchten Kernel-Builds unter anderem Systeme wie Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 und OpenCloudOS eine Rolle gespielt haben.
Gleichzeitig betont das Labor selbst Einschränkungen: Die Auswirkungen hängen nicht nur von der Schwachstelle ab, sondern auch von Faktoren wie Socket-Zugriff, Seccomp-Profilen und User-Namespaces. In der Beschreibung blieb das Standard-Seccomp-Profil aktiv, und es wurden demnach keine besonderen Capabilities wie CAP_NET_ADMIN oder CAP_SYS_ADMIN gewährt.
Nach eigener Zählung erreichte das Team in 6 von 8 Versuchen Root am Host. Draußen außerhalb dieses Labors wurde die Umgehung jedoch noch nicht unabhängig nachgestellt, und der Bericht nennt zudem nicht, welcher konkrete Container-Runtime-Typ im Test verwendet wurde.
Schweregrad: unterschiedliche Bewertungslage
Der mögliche Schweregrad ist zum Zeitpunkt der Berichterstattung noch nicht final. Das Sicherheitslabor vergab intern eine Bewertung von 8,5 nach CVSS v4.0. Der NVD-Status (National Vulnerability Database) hatte zu diesem Zeitpunkt weder einen Wert noch eine genaue Schwachstellenklassifizierung bereitgestellt.
Für Sie als Betreiber bedeutet das vor allem: Verlassen Sie sich nicht auf nur eine Kennzahl. Entscheidend ist, ob SCTP bei Ihnen genutzt wird und wie exponiert die Dienste/Ports sind.
Was Sie jetzt konkret tun können
Wenn Sie die Linux SCTP Schwachstelle in Ihrem Umfeld ausschließen möchten, sollten Sie drei Schritte in dieser Reihenfolge prüfen:
- Kernel aktualisieren: Installieren Sie die Fix-Kernel aus den genannten stabilen Releases oder prüfen Sie die Backport-Informationen Ihrer Distribution.
- Exponierung minimieren: Wenn SCTP bei Ihnen nicht gebraucht wird, blocken oder deaktivieren Sie das SCTP-Modul bzw. unterbrechen Sie die relevanten Pfade, sodass SCTP nicht erreichbar ist.
- Verfügbarkeit von Updates verifizieren: Achten Sie darauf, dass es nicht nur um Upstream-Versionen geht. Backports können die Lücke bereits schließen, ohne dass der Versionstring das klar zeigt.
Zusätzlich gibt es Hinweise darauf, dass am gleichen Code-Umfeld noch weitere Use-after-free-Probleme adressiert wurden. Ein zweiter Fehler dieser Art wurde demnach am 6. August nachgeliefert – er betrifft also nicht die gleichen Fix-Releases vom 3. August allein.
Fazit
Die Linux SCTP Schwachstelle (CVE-2026-64564, SCTPhantom) ist kein alltägliches Remote-Thema, aber dennoch ernst zu nehmen: Ein Use-after-free im SCTP-Code kann lokalen Angreifern unter geeigneten Bedingungen helfen, Root-Rechte auf dem Host zu erreichen und damit auch Container-Umgebungen zu gefährden. Da der Fix bereits in stabilen Kernel-Versionen ausgerollt wurde, sollten Sie die Aktualisierung priorisieren und zugleich prüfen, ob SCTP in Ihrer Infrastruktur überhaupt erforderlich ist.
Quelle: https://thehackernews.com/2026/08/18-year-old-linux-sctp-flaw-could-let.html
