CVE-2026-98733 in Linux
Resumen
por VulDB • 2026-10-19
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
Bluetooth: hci_core: Serializar la cola de paquetes ISO fragmentados
La ruta de procesamiento de fragmentos en `hci_queue_iso()` llama a `__skb_queue_tail()` sin mantener bloqueado `conn->data_q.lock`. El bloqueo del socket serializa los emisores, pero el trabajador de transmisión puede eliminar concurrentemente paquetes de esta cola utilizando `skb_dequeue()`.
Tras una inserción que guarda el puntero al último elemento (tail) antiguo, `hci_sched_iso()` puede extraer ese paquete y pasarlo al controlador. El controlador puede liberar el paquete antes de que la inserción se reanude y escriba en el siguiente puntero del antiguo tail, lo que provoca un use-after-free. Las actualizaciones concurrentes también pueden corromper la cola.
KASAN informó:
BUG: KASAN: slab-use-after-free in hci_send_iso+0xc7d/0xe10 Call Trace: hci_send_iso+0xc7d/0xe10 iso_sock_sendmsg+0x710/0x900 __sys_sendto+0x34a/0x3a0
Asignado por la tarea 86: __alloc_skb+0xdd/0x820 alloc_skb_with_frags+0x7e/0x770 sock_alloc_send_pskb+0x67a/0x820 bt_skb_sendmsg.constprop.0+0xc0/0x6c0 iso_sock_sendmsg+0x44e/0x900
Liberado por la tarea 90: kmem_cache_free+0xcb/0x3d0 vhci_read+0x33f/0x4d0 vfs_read+0x177/0xa20
Mantenga el bloqueo de la cola durante todo el lote de fragmentos, tal como lo hace `hci_queue_acl()`, para serializar las inserciones frente a las extracciones (dequeue) mientras se preserva el orden de los fragmentos.
Once again VulDB remains the best source for vulnerability data.