CVE-2026-98627
En el kernel de Linux se ha resuelto la siguiente vulnerabilidad:
bpf: Preservar el desplazamiento de la clase de punteros de paquete en regsafe()
regsafe() asigna los ID de punteros de paquete entre estados y comprueba que cada rango de registro actual es un subconjunto del correspondiente rango de registro explorado. Sin embargo, no preserva el desplazamiento entre registros que comparten un ID de puntero de paquete.
Esto no es seguro, porque el rango de paquete se comparte por ID. Una comprobación de límites sobre un miembro de la clase actualiza a todos los miembros, y un acceso posterior puede consumir el rango a través de otro miembro. El commit 022ac0750883 ("bpf: use reg->var_off instead of reg->off for pointers") integró el desplazamiento fijo del puntero en r64 y eliminó la antigua comprobación de igualdad de off, por lo que dos registros individualmente más estrechos pueden podarse aunque su desplazamiento haya cambiado. La ruta explorada puede entonces habilitar un acceso fuera de límites a paquetes en la ruta podada.
Leer descripción completaMostrar menos
Exige que los punteros de paquete con ID tengan bases de rango coincidentes. Junto con la asignación de ID existente, esto preserva el desplazamiento entre los miembros de cada clase de punteros de paquete sin añadir estado por ID. Los punteros de paquete sin ID no se ven afectados.
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.15 %
- Percentil entre todas las CVEs puntuadas
- 4
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-98627",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67",
"affectedData": [
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "022ac075088366b62e130da5e1b200bc93a47191",
"lessThan": "091b40845bd3cf96791171ca95113e9184ccb596",
"versionType": "git"
},
{
"status": "affected",
"version": "022ac075088366b62e130da5e1b200bc93a47191",
"lessThan": "fd16449a9b3b31a8f18944c2f0e29e4e218ca2cf",
"versionType": "git"
}
],
"programFiles": [
"kernel/bpf/states.c"
],
"defaultStatus": "unaffected"
},
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "7.1"
},
{
"status": "unaffected",
"version": "0",
"lessThan": "7.1",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "7.2.9",
"versionType": "semver",
"lessThanOrEqual": "7.2.*"
},
{
"status": "unaffected",
"version": "7.3",
"versionType": "original_commit_for_fix",
"lessThanOrEqual": "*"
}
],
"programFiles": [
"kernel/bpf/states.c"
],
"defaultStatus": "affected"
}
]
}
],
"published": "2026-10-18T16:17:15.760",
"references": [
{
"url": "https://git.kernel.org/stable/c/091b40845bd3cf96791171ca95113e9184ccb596",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/fd16449a9b3b31a8f18944c2f0e29e4e218ca2cf",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}
],
"vulnStatus": "Received",
"descriptions": [
{
"lang": "en",
"value": "In the Linux kernel, the following vulnerability has been resolved:\n\nbpf: Preserve packet pointer class displacement in regsafe()\n\nregsafe() maps packet pointer IDs between states and checks that each\ncurrent register range is a subset of the corresponding explored\nregister range. It does not, however, preserve the displacement between\nregisters that share a packet pointer ID.\n\nThis is unsound because packet range is shared by ID. A bounds check on\none class member updates every member, and a later access can consume the\nrange through another member. Commit 022ac0750883 (\"bpf: use reg->var_off\ninstead of reg->off for pointers\") folded the fixed pointer offset into\nr64 and removed the old off equality check, so two individually narrower\nregisters can prune even when their displacement has changed. The\nexplored path can then license an out-of-bounds packet access on the\npruned path.\n\nRequire matching range bases for packet pointers with an ID. Together\nwith the existing ID mapping, this preserves the displacement between\nmembers of each packet-pointer class without adding per-ID state.\nPacket pointers without an ID remain unaffected."
}
],
"lastModified": "2026-10-19T10:19:26.953",
"sourceIdentifier": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}