Come proteggersi dalla vulnerabilità SCTPhantom nel kernel Linux

Questa guida spiega come proteggere i sistemi Linux dalla vulnerabilità denominata SCTPhantom (CVE-2026-64564), una falla presente nel kernel Linux che potrebbe consentire a un attaccante locale di ottenere privilegi root e, in determinate condizioni, di evadere da un container per accedere al sistema host.

La vulnerabilità è utile per gli amministratori di sistema e gli utenti avanzati che necessitano di patchare i loro sistemi per prevenire potenziali attacchi. La guida è rivolta a chi gestisce server Linux, ambienti containerizzati e chiunque utilizzi distribuzioni Linux potenzialmente affette.

La falla riguarda il protocollo Stream Control Transmission Protocol (SCTP) e specificamente la sua funzionalità di Dynamic Address Reconfiguration, che può portare a una condizione di use-after-free nel kernel. Questa vulnerabilità è presente sin dalla versione Linux 2.6.25, datata 2007 o 2008.

Gli esperti di Tencent’s Zhuque Lab hanno dimostrato che la vulnerabilità può essere sfruttata per ottenere accesso root su diverse distribuzioni e versioni del kernel, tra cui Debian 13, Ubuntu 24.04, Rocky Linux 9/RHEL 9, OpenCloudOS e sistemi di ricerca.

In ambienti containerizzati, la vulnerabilità può essere utilizzata per evadere da un container al sistema host, anche senza privilegi amministrativi specifici come CAPNETADMIN o CAPSYSADMIN. Tuttavia, la suscettibilità dipende da vari fattori, tra cui la disponibilità di SCTP, l'accesso a raw e packet sockets, le politiche di user namespace, la configurazione seccomp, le capacità Linux e le politiche dei moduli di sicurezza.

La gravità della vulnerabilità è stata valutata con un punteggio base di 8.5 su 10 sulla scala CVSS 4.0, classificandola come di alta severità. L'esploit richiede accesso locale e privilegi bassi, ma non interazione utente.

La correzione del kernel Linux è relativamente semplice e previene la condizione di dangling-pointer durante l'elaborazione DEL-IP. Le versioni del kernel più antiche che includono la correzione sono Linux 6.6.148, 6.12.101, 6.18.42 e 7.1.6, mentre la correzione è apparsa nella versione mainline Linux 7.2-rc5.

Le distribuzioni Linux hanno iniziato a rilasciare aggiornamenti di sicurezza, come Debian 13 “Trixie” con il kernel 6.12.101-1. È fondamentale installare gli aggiornamenti di sicurezza forniti dalla distribuzione Linux specifica per garantire la protezione del sistema.

Prerequisiti

• Sistema operativo: Distribuzione Linux (es. Debian, Ubuntu, Rocky Linux, RHEL, OpenCloudOS)
• Versione del kernel: Kernel Linux 2.6.25 o superiore
• Accesso root: Privilegi di amministratore per installare aggiornamenti di sicurezza
• Connessione Internet: Per scaricare gli aggiornamenti di sicurezza
• Ambiente containerizzato (opzionale): Per testare l'escape dal container al sistema host

Procedura per verificare e applicare la patch di sicurezza per la vulnerabilità SCTPhantom (CVE-2026-64564)

Alla fine di questa guida, avrai verificato se il tuo sistema è vulnerabile alla vulnerabilità SCTPhantom e avrai applicato la patch di sicurezza necessaria.

Passo 1: Verificare la versione del kernel

• Aprire un terminale.
• Eseguire il comando: uname -r
• Annotare la versione del kernel visualizzata.

Passo 2: Verificare se la versione del kernel è vulnerabile

• Confrontare la versione del kernel annotata con le versioni vulnerabili menzionate nel testo sorgente.
• Se la versione del kernel è una delle seguenti, il sistema è vulnerabile:
  • Debian 12 "Bookworm" con Linux 6.1.180-1

Passo 3: Applicare la patch di sicurezza

• Se il sistema è vulnerabile, aggiornare il kernel alla versione patchata corrispondente alla distribuzione utilizzata.
• Seguire le istruzioni specifiche della distribuzione per l'aggiornamento del kernel.
• Per Debian, ad esempio, eseguire i seguenti comandi:
  • sudo apt update
  • sudo apt upgrade

Passo 4: Verificare l'applicazione della patch

• Dopo l'aggiornamento, verificare nuovamente la versione del kernel eseguendo il comando: uname -r

Verifica e Troubleshooting

Alla fine di questa guida, sarai in grado di testare la presenza della vulnerabilità SCTPhantom nel tuo sistema Linux e applicare le soluzioni necessarie in caso di fallimento.

Test di Verifica

• Verifica la versione del kernel: Apri un terminale e digita il comando uname -r. Questo ti mostrerà la versione del kernel attualmente in uso.
• Controlla le versioni vulnerabili: Confronta la versione del kernel con le seguenti versioni vulnerabili:
  • Linux 6.6.119
  • Linux 6.12.95
  • Linux 6.8.0-134
  • Linux 5.14
  • Linux 6.1.180-1
  • Linux 5.10.262-1
• Verifica la presenza di SCTP: Esegui il comando lsmod | grep sctp. Se il modulo SCTP è caricato, il sistema è potenzialmente vulnerabile.

Soluzioni in Caso di Fallimento

• Aggiorna il kernel: Installa le versioni corrette del kernel per la tua distribuzione. Le versioni fisse sono:
  • Linux 6.6.148
  • Linux 6.12.101
  • Linux 6.18.42
  • Linux 7.1.6
  • Linux 7.2-rc5
• Applica le patch di sicurezza: Controlla gli avvisi di sicurezza della tua distribuzione e applica le patch necessarie. Ad esempio, per Debian, verifica gli aggiornamenti disponibili sul Debian Security Tracker.
• Disabilita SCTP: Se non è necessario, disabilita il modulo SCTP eseguendo il comando sudo modprobe -r sctp.
• Configura le politiche di sicurezza: Assicurati che le politiche di sicurezza del sistema, come le regole seccomp e le capacità Linux, siano configurate correttamente per mitigare il rischio di exploit.

Per garantire la sicurezza del tuo sistema, segui questi consigli pratici:

• Aggiorna il kernel del tuo sistema utilizzando gli aggiornamenti di sicurezza forniti dalla tua distribuzione Linux.
• Considera l'impatto della vulnerabilità nel tuo ambiente specifico, valutando fattori come la disponibilità di SCTP e le politiche di sicurezza attive.

La sicurezza del tuo sistema è una responsabilità continua. Mantieni il kernel aggiornato e rimani informato sulle ultime minacce e soluzioni.