CVE-2026-98258

总结

在 Linux 内核中，以下漏洞已被修复：posix-cpu-timers：防止释放已排队在到期列表上的定时器。Kijo 分析了 POSIX CPU 定时器代码中的另一个竞态条件：提交 bf635681c906 将 cpu_timer::firing 从三态值转换为布尔值。这丢失了“不属于触发列表”与“仍被拥有，但投递已被取消”之间的区别。由此产生的竞态是：到期处理程序 timer_settime() timer_delete() -------------- --------------- -------------- 将定时器收集到私有触发列表 firing = true 观察到 firing = true firing = false 返回 TIMER_RETRY 等待处理程序 观察到 firing = false 完成删除 取消哈希并释放定时器 恢复列表遍历 读取已释放的 elist.next -> UAF 自该提交以来，firing 位显然是错误的指示器。应改为检查定时器是否排队在到期列表上。如果已排队，则像之前一样清除 firing 位以阻止信号投递，并返回 TIMER_RETRY，以便调用者解锁定时器，从而让到期代码得以推进并将其从列表中移除。

来源

• poc-CVE-2026-98258PoC

  针对 CVE-2026-98258 的概念验证，该漏洞是 Linux 内核 posix-cpu-timers 的一个缺陷：已排队的定时器在到期列表上被释放，并附有可运行的演示。