CVE-2026-98258: race condition UAF nel kernel Linux

Race condition UAF nel kernel Linux (POSIX CPU timers). CVSS 7,8. PoC pubblico. Patching urgente.

Il CVE-2026-98258 è una race condition nel codice POSIX CPU timer del kernel Linux. Una perdita di distinzione tra timer non posseduti dalla lista di scadenza e timer ancora posseduti ma con consegna annullata genera una situazione di use-after-free (UAF). Un thread in esecuzione può liberare la memoria di un timer mentre un altro thread lo accede, causando il crash del kernel o l'esecuzione di codice. Il difetto riguarda il kernel Linux in generale, colpendo tutti i sistemi operativi basati su Linux.

La gravità è alta: CVSS 7,8. L'NVD conferma la classificazione 'high' e il difetto è stato pubblicato il 6 ottobre 2026. A partire dal 1° novembre 2026 sono disponibili prove di concetto (PoC) pubbliche su repository GitHub, segnale che il vettore di attacco è documentato e reproducibile. Non è stato riportato se patch sono già disponibili nel kernel mainline. I segnali tecnici sono coerenti: la descrizione dell'NVD conferma la causa (commit bf635681c906) e il meccanismo della race condition.

Gli amministratori di sistema devono verificare la versione del kernel Linux in uso consultando i bollettini della propria distribuzione Linux. Monitorare attivamente i canali di sicurezza per l'uscita di patch. Nel frattempo, su sistemi multi-utente ad alto rischio, documentare comportamenti anomali del kernel come crash imprevisti e ridurre l'esposizione limitando l'accesso a operazioni di modifica dei timer POSIX. Una volta disponibile la patch ufficiale dalla distribuzione, schedulare l'aggiornamento del kernel in una finestra di manutenzione prioritaria.

In sintesi

Cosa: Race condition nel codice posix-cpu-timers del kernel Linux. Perdita di distinzione tra stato di proprietà di un timer genera use-after-free (UAF) quando l'expiry handler, timer_settime() e timer_delete() gareggiano per accedere allo stesso timer. Un thread può liberare memoria mentre un altro la accede.
Gravità: CVSS 7,8 (high). Potenziale crash del kernel o escalation di privilegi via esecuzione di codice arbitrario.
Versioni interessate: Non riportato nella descrizione ufficiale NVD. Il difetto nel codice posix-cpu-timers suggerisce il kernel Linux; consultare i bollettini della propria distribuzione per l'elenco delle versioni vulnerabili.
Correzione: Verificare se il timer è accodato nella lista di scadenza anziché usare il bit firing come unico indicatore; azzerare firing a false e ritornare TIMER_RETRY per consentire all'handler di progredire e rimuovere il timer dalla lista.
Stato: Pubblicato NVD il 6 ottobre 2026. Proof-of-Concept pubblico disponibile su repository GitHub a partire dal 1° novembre 2026. Status di patch ufficiale nel kernel mainline non confermato nei dati.
Azione: Contattare immediatamente il fornitore della distribuzione Linux per patch prioritaria. Monitorare i bollettini di sicurezza. Su sistemi ad alto rischio, considerare restrizioni temporanee su operazioni timer POSIX in ambienti multi-utente fino a patching.

Fonti: NVD, CVE-2026-98258

← Tutti gli articoli