CVE-2026-99270 Uso después de liberar en reqsk_timer_handler() del kernel de Linux
En el kernel de Linux se corrigió una vulnerabilidad de uso después de liberar (UAF) en reqsk_timer_handler(): cuando falla la migración del socket TCP en inet_ehash_insert(), se libera el nuevo reqsk con __reqsk_free() sin detener antes su temporizador, lo que puede derivar en UAF. La corrección llama a timer_delete_sync() para el nuevo reqsk y pasa false a __inet_csk_reqsk_queue_drop() para detener su temporizador.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 27
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Linux
desde 83fccfc3940c4a2db90fd7e7079f5b465cd8c6af hasta antes de b3b56e95f6fad7fa7281450b443e861d82616fdbdesde 83fccfc3940c4a2db90fd7e7079f5b465cd8c6af hasta antes de 97c8a3c1f73d828de43a5a88e8a9a143efb2b661d3a1196bfc462943694623412d8e03aaf172bdc1desde 4.1.11 hasta antes de 4.2
Linux
4.2
Qué hacer
- Verificá si usás Linux y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.1 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
In the Linux kernel, the following vulnerability has been resolved:
tcp: Fix potential UAF in reqsk_timer_handler().
When TCP socket migration fails at inet_ehash_insert() in
reqsk_timer_handler(), we jump to the no_ownership: label
and free the new reqsk immediately with __reqsk_free().
Thus, we must stop the new reqsk's timer before jumping to the
label, but the timer might be missed since the cited commit,
resulting in UAF.
As we are in the original reqsk's timer context, we can safely
call timer_delete_sync() for the new reqsk.
Let's pass false to __inet_csk_reqsk_queue_drop() to stop
the new reqsk's timer.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.