CVE-2026-98258

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été corrigée : posix-cpu-timers : empêcher la libération d'un timer qui est en file d'attente sur la liste d'expiration Kijo a analysé une autre condition de course dans le code des timers CPU POSIX : Le commit bf635681c906 a converti cpu_timer::firing d'une valeur à trois états en un booléen. Cela a fait perdre la distinction entre « non détenu par la liste de déclenchement » et « toujours détenu, mais la livraison a été annulée ». La condition de course qui en résulte est : gestionnaire d'expiration timer_settime() timer_delete() -------------- --------------- -------------- collecter le timer dans la liste de déclenchement privée firing = true observe firing = true firing = false retourne TIMER_RETRY attend le gestionnaire observe firing = false termine la suppression retire du hash et libère le timer reprend le parcours de la liste lit elist.next libéré -> UAF Le bit firing est clairement le mauvais indicateur depuis ce commit. Vérifier plutôt si le timer est en file d'attente sur la liste d'expiration ou non. S'il y est en file d'attente, effacer le bit firing pour empêcher la livraison du signal comme auparavant et retourner TIMER_RETRY afin que l'appelant déverrouille le timer, ce qui permet au code d'expiration de progresser et de le retirer de la liste.

Sources

• poc-CVE-2026-98258PoC

  Preuve de concept démontrant CVE-2026-98258, une faille dans les posix-cpu-timers du noyau Linux où un minuteur en file d'attente est libéré sur la liste d'expiration, avec une démo fonctionnelle.