Un bug di Linux può far uscire da un container al root dell’host
Un kernel bug di Linux non resta confinato al workload che lo raggiunge: su sistemi SCTP-enabled può attraversare il confine del container e arrivare al kernel dell’host, rendendo inutile la lettura “solo locale”. Qui il problema non è un semplice crash. È la possibilità che un utente non privilegiato o un processo dentro un container prenda controllo del nodo e, da lì, delle altre workload sullo stesso host.
Tencent dice di aver usato CVE-2026-64564, un use-after-free nel path SCTP presente dal 2008, per ottenere root sull’host dopo un’uscita da container. Le correzioni stabili sono già uscite il 3 agosto nelle linee 7.1.6, 6.18.42, 6.12.101 e 6.6.148; i test riportati riguardano Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 e OpenCloudOS.
Per chi opera piattaforme containerizzate, il perimetro di esposizione non è il singolo pod ma il nodo Linux che lo ospita. Finché SCTP resta raggiungibile su kernel non aggiornati, la falla può trasformare un problema locale in compromissione dell’host e dei container vicini.