CVE-2026-98033 in Linux
Resumen
por VulDB • 2026-09-25
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
bpf: Preservar la identidad del mapa interno en los marcos de devolución de llamada (callback frames)
Los constructores de marcos de callback inicializan los registros de argumentos con tipo de mapa mediante `__mark_reg_known_zero()` y luego restauran el puntero al mapa (`map_ptr`). Esto borra `map_uid`, que es el único campo que distingue entre mapas internos que comparten una plantilla `inner_map_meta`.
Cuando un temporizador (timer) invoca a `bpf_for_each_map_elem()` en un segundo mapa interno, tanto el primer mapa guardado como el valor del segundo mapa pueden llegar al callback anidado con la misma plantilla y con `map_uid` igual a cero. A continuación, `bpf_timer_init()` acepta emparejar el temporizador procedente del segundo mapa con el primer mapa.
El tiempo de ejecución registra el primer mapa en el temporizador sin tomar una referencia sobre él. Al liberar ese mapa, no se encuentra el temporizador almacenado en el segundo mapa, por lo que un posterior callback del temporizador realiza una desreferenciación sobre el mapa ya liberado (use-after-free).
Copiar `map_uid` desde el mismo registro de llamada que `map_ptr` al construir los argumentos para callbacks for-each, timer/workqueue y task-work. El mecanismo existente de comprobación de identidad puede entonces rechazar mapas internos no coincidentes mientras permite emparejar un valor de callback con su mapa real.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.