CVE-2026-64564 — SCTPhantom:Linux SCTP ASCONF DEL-IP UAF(Local Privilege Escalation)

HackSpeak 分发仓库。原 PoC 来自社区仓库(上游):github.com/ethanolgolf/CVE-2026-64564——本仓库为便于"后台回复"分发的镜像,代码与上游一致。

⚠️ 上游未附 LICENSE、未提供作者信息,本 PoC 为社区公开代码、未经真机验证——请优先前往上游仓库核对最新版本与任何后续说明,再决定是否使用;镜像按分发惯例采用 MIT License,Copyright (c) 2026 HackSpeak,源码版权归原代码作者。请在可销毁环境测试,勿对未授权系统使用。

漏洞简述

Linux 内核 SCTP 子系统动态地址重配置(ASCONF)DEL-IP 处理逻辑的身份不匹配导致的 Use-After-Free:内核用数据包源地址校验删除请求,却按 ASCONF Address Parameter 选中的 transport 动手;构造 [Address Parameter L] [DEL-IP L] [DEL-IP 0.0.0.0] 序列,可让 transport 被释放后 association 仍保留悬空指针(primary_path / active_path),后续 socket 操作触发 UAF。

• CVE:CVE-2026-64564(SCTPhantom)
• 影响:本地权限提升到 root;可扩展为容器到宿主机逃逸
• 存在时间:自 Linux 2.6.25(commit 42e30bf3463c,约 2008 年)起,约 18 年
• 修复:上游 commit 9b2854f86f0b;稳定内核 7.1.6 / 6.18.42 / 6.12.101 / 6.6.148(2026-08-03 发布)

环境与用法

• 目标:Debian 13,kernel 6.12.95(BTF 验证的结构体偏移;其他内核需自行适配偏移)
• 依赖:需可加载/使用 SCTP 模块;原始版本需要 net.sctp.addip_enable 与 net.sctp.addip_noauth_enable(高版本可经 per-socket 选项绕过)

gcc -O2 -static -o lpe lpe_debian.6.12.95.c
./lpe

成功时验证方式:读取 /etc/shadow 或写入 /root/SCTP_LPE_SUCCESS 标记文件。

利用链(对应官方技术分析)

UAF #1 被 PACKET_TX_RING 的 pg_vec 回收 → direct-map 页面泄露 → 可重复 4 字节内核读 → 经固定 IDT 映射恢复 KASLR → UAF #2 被受控 SCTP authentication-key 数据回收 → 受控内核对象图 → 数据导向 commit_creds() → 全局 root → usermode-helper 变体 → 容器到宿主机逃逸。

免责声明

• 仅供安全研究、漏洞验证与授权测试使用;请在可销毁环境(虚拟机/容器)运行,勿对未授权系统使用。
• 本 PoC 为社区公开代码,未经真机验证;利用会导致内核对象图被破坏,失败可能引发内核崩溃。
• 分发仓库遵循上游无 LICENSE 时的 MIT 惯例,版权归属见上。

参考

• 修复 commit:9b2854f86f0b(net/sctp/sm_make_chunk.c)
• CVE-2026-64564(NVD 编号;截至 2026-08-07 NVD 尚未给出评分,以官方为准)