CVE-2026-98258

Resumen

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: posix-cpu-timers: Evitar la liberación de un temporizador que está en cola en la lista de expiración Kijo analizó otra condición de carrera en el código del temporizador de CPU POSIX: El commit bf635681c906 convirtió cpu_timer::firing de un valor de tres estados a un booleano. Esto perdió la distinción entre "no pertenece a la lista de disparo" y "todavía pertenece, pero la entrega fue cancelada". La condición de carrera resultante es: manejador de expiración timer_settime() timer_delete() -------------- --------------- -------------- recopilar el temporizador en la lista de disparo privada firing = true observa firing = true firing = false devolver TIMER_RETRY esperar al manejador observa firing = false finalizar la eliminación quitar del hash y liberar el temporizador reanudar el recorrido de la lista leer elist.next liberado -> UAF El bit firing es claramente el indicador incorrecto desde ese commit. En su lugar, comprobar si el temporizador está en cola en la lista de expiración o no. Si está en cola, limpiar el bit firing para evitar la entrega de la señal como antes y devolver TIMER_RETRY para que el llamador desbloquee el temporizador, lo que permite que el código de expiración avance y lo elimine de la lista.

Fuentes

• poc-CVE-2026-98258PoC

  Prueba de concepto que demuestra CVE-2026-98258, una falla en los posix-cpu-timers del kernel de Linux donde un temporizador en cola se libera en la lista de expiración, con una demo funcional.