CVE-2026-98258

Resumo

No kernel Linux, a seguinte vulnerabilidade foi resolvida: posix-cpu-timers: Impedir a liberação de um timer que está enfileirado na lista de expiração Kijo analisou outra condição de corrida no código do timer POSIX de CPU: O commit bf635681c906 converteu cpu_timer::firing de um valor tri-estado para um booleano. Isso perdeu a distinção entre "não pertence à lista de disparo" e "ainda pertence, mas a entrega foi cancelada". A condição de corrida resultante é: manipulador de expiração timer_settime() timer_delete() -------------- --------------- -------------- coleta o timer na lista de disparo privada firing = true observa firing = true firing = false retorna TIMER_RETRY aguarda o manipulador observa firing = false finaliza a exclusão remove do hash e libera o timer retoma a travessia da lista lê elist.next liberado -> UAF O bit firing é claramente o indicador errado desde aquele commit. Em vez disso, verifique se o timer está enfileirado na lista de expiração ou não. Se estiver enfileirado, limpe o bit firing para impedir a entrega do sinal como antes e retorne TIMER_RETRY para que o chamador destrave o timer, o que permite que o código de expiração progrida e o remova da lista.

Fontes

• poc-CVE-2026-98258PoC

  Prova de conceito que demonstra a CVE-2026-98258, uma falha nos posix-cpu-timers do kernel Linux em que um timer enfileirado é liberado na lista de expiração, com uma demonstração funcional.