CVE-2026-99075 Actualización de refcount de nodo perdida al salir un hilo en rust_binder
Al salir un hilo mediante BINDER_THREAD_EXIT se cancelaban sus trabajos pendientes y se descartaba el incremento de refcount del nodo, desincronizando su estado y pudiendo impedir que el nodo se libere. Se implementa DeliverToRead::cancel() para mover la actualización pendiente a la cola de trabajo del proceso.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Linux
desde eafedbc7c050c44744fbdf80bdf3315e860b7513 hasta antes de 71cbad138969edecef01b28dff87d91b56db538ddesde eafedbc7c050c44744fbdf80bdf3315e860b7513 hasta antes de fb0f8dfc5a030ed3d60a1d03acdc99c90ee99fc1desde eafedbc7c050c44744fbdf80bdf3315e860b7513 hasta antes de 2a74ccd1bcc170e66525f34e9de8652b57e2cf3d
Linux
6.18
Qué hacer
- Verificá si usás Linux y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
In the Linux kernel, the following vulnerability has been resolved:
rust_binder: reschedule node refcount update on thread exit
When a thread exits via BINDER_THREAD_EXIT, its pending work items are
cancelled. If a thread exits while holding a pending node refcount
increment (e.g. pushed as deferred work to that thread), the refcount
increment was previously dropped because Node::cancel() and
NodeWrapper::cancel() were no-ops.
Dropping the refcount update leaves the node's delivery state and count
state desynchronized, and userspace will not receive the notification,
which can cause the node to never be freed from the process's nodes tree
when all external references are dropped.
Fix this by implementing DeliverToRead::cancel() for Node and NodeWrapper
to move the pending refcount update to the process's work queue on thread
exit so another thread can deliver it to userspace.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.