SCTPhantom: un peligroso bug de Linux que permite escapar de contenedores y obtener root

Una reciente descubierta vulnerabilidad en el núcleo de Linux, conocida como SCTPhantom, ha encendido alarmas entre expertos en seguridad y administradores de sistemas. Este peligroso bug, que ha estado oculto durante 18 años en el código SCTP del kernel Linux, puede permitir a un usuario local escalar privilegios hasta obtener permisos de root y, en condiciones específicas, escapar de contenedores para acceder al sistema anfitrión.

Sctphantom: un peligroso bug de linux

SCTPhantom es una vulnerabilidad de tipo “use-after-free” que afecta al código SCTP del kernel Linux. Este tipo de fallo ocurre cuando el sistema sigue utilizando una referencia a memoria que ya ha sido liberada, lo que puede llevar a la escalada de privilegios o a la ejecución de acciones con permisos elevados.

La importancia de esta vulnerabilidad radica en que, aunque no es un problema remoto masivo, requiere acceso local y que SCTP esté disponible o sea alcanzable. Sin embargo, en entornos multiusuario, CI/CD, Docker, Kubernetes o plataformas con contenedores, el impacto puede ser devastador.

Qué es SCTP y por qué es relevante

SCTP, o Stream Control Transmission Protocol, es un protocolo de transporte menos conocido que TCP o UDP. Su diseño permite características avanzadas como multihoming, lo que significa que puede usar varias rutas de red dentro de una misma asociación.

Aunque SCTP no se utiliza directamente en muchos servidores comunes, puede estar disponible como módulo del kernel o habilitarse por ciertos entornos, servicios, aplicaciones de red, laboratorios o plataformas con contenedores. Por lo tanto, aunque el fallo no es remoto por defecto, si SCTP está accesible desde procesos locales o contenedores, el riesgo aumenta considerablemente.

Impacto en contenedores docker y kubernetes

Una de las mayores preocupaciones con SCTPhantom es el posible escape de contenedores. En teoría, un contenedor debería aislar procesos, sistema de archivos, red y permisos. Sin embargo, los contenedores comparten el mismo kernel del host, por lo que una vulnerabilidad del kernel alcanzable desde dentro del contenedor puede afectar directamente al sistema anfitrión.

Los contenedores son herramientas esenciales en la gestión de aplicaciones y servicios en la nube, y su seguridad es fundamental para garantizar la integridad de los sistemas. SCTPhantom amenaza este equilibrio al permitir que los usuarios escalen privilegios y escapen de contenedores bajo ciertas condiciones.

Impacto y mitigación

Los investigadores han probado el impacto de SCTPhantom en diversas distribuciones de Linux, incluyendo Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 y OpenCloudOS, logrando obtener permisos root en los sistemas evaluados bajo las condiciones necesarias.

Para mitigar este riesgo, los administradores de sistemas deben actualizar sus sistemas a las versiones estables del kernel Linux que ya han corregido el fallo. Estas versiones incluyen 7.1.6, 6.18.42, 6.12.101 y 6.6.148, entre otras. Es crucial que los administradores monitoreen y actualicen sus sistemas desde los repositorios oficiales de sus distribuciones.

Conclusión

SCTPhantom es un ejemplo del riesgo constante asociado a la seguridad de sistemas operativos como Linux. Aunque no es una amenaza inmediata para todos los usuarios, su potencial para causar daño es significativo en entornos específicos y es crucial que los administradores de sistemas estén al tanto de este tipo de vulnerabilidades y actúen rápidamente para mitigarlas.