CVE-2026-98799
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
bpf: Omitir los programas desvinculados en las imágenes de trampolín que aún están en uso
bpf_tramp_image_put() garantiza que una imagen de trampolín no se libere mientras una tarea pueda seguir ejecutándose en ella, pero no se hace nada similar con los programas que esa imagen invoca. La desvinculación elimina de inmediato la última referencia al programa, y este se libera tras los periodos de gracia, partiendo de que una tarea que aún está en la función trazada omite los programas fexit una vez que el nop en ip_after_call se ha parcheado a un salto.
Leer descripción completaMostrar menos
Esto deja sin cubrir a una tarea que duerme en un programa dormible que se ejecuta antes que el desvinculado, algo que ningún periodo de gracia espera:
Si S y P son programas fexit, la tarea ya ha pasado el salto parcheado, y las imágenes solo de fentry no tienen ese salto. En x86 esto produce un int3 en la memoria poisoned de bpf_prog_pack:
Lo detectamos en producción cuando programas adjuntos mediante trampolines se desvincularon mientras sus hooks estaban ocupados, y también se encontró de forma independiente con un fuzzer y KASAN.
Hacer que los JIT emitan un nop parcheable delante de cada secuencia de llamada a programa y registrarlo en la imagen. Al desvincular un programa, su nop se parchea a un salto sobre la secuencia de llamada. Los programas que siguen adjuntos continúan ejecutándose para las tareas que están en la imagen, y ip_after_call ya no es necesario.
La tarea puede estar en cualquier imagen que aún no se haya liberado, no solo en la actual. Por ejemplo, duerme en la imagen I1, que llama a S, P y Q; después se desvincula P, el trampolín pasa a la imagen I2, luego se desvincula Q y su llamada sigue en I1. Por ello, el trampolín mantiene una lista de sus imágenes hasta que se liberen, y desvincular un programa parchea su nop en todas ellas. Las imágenes mantienen una referencia al trampolín durante ese tiempo.
En riscv y loongarch, un salto de cualquier alcance ocupa varias instrucciones, y una tarea expropiada a mitad de ellas podría reanudarse en mitad de la nueva secuencia. Allí el nop es una única instrucción, parcheada a una bifurcación cercana mediante arch_bpf_trampoline_skip().
Con los nops adicionales, BPF_MAX_TRAMP_LINKS programas ya no caben en una página en x86 y arm64 (y tampoco cabían en powerpc), así que se reduce el límite en esas arquitecturas, como ya hace s390.
Detalles técnicos trazas, registros y código del informe original
CPU 0 CPU 1
en la imagen I, durmiendo en el programa S
desvincular P del trampolín de I
-> nueva imagen, bpf_tramp_image_put(I)
bpf_prog_put(P), última referencia
periodos de gracia, P liberado
vuelve de S
__bpf_prog_enter(P)
llamada a P->bpf_func
Oops: int3: 0000 [#1] SMP NOPTI
CPU: 18 UID: 0 PID: 94573 Comm: x169 Not tainted 6.18.44 #1 PREEMPT(lazy)
RIP: 0010:0xffffffffc0601d8d
Call Trace:
<TASK>
? bpf_trampoline_6442515411+0x1a4/0x21b
bpf_lsm_bprm_committed_creds+0x5/0x10
security_bprm_committed_creds+0x5f/0x70
begin_new_exec+0x2d6/0x410
...Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.15 %
- Percentil entre todas las CVEs puntuadas
- 4
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-98799",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67",
"affectedData": [
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "e21aa341785c679dd409c8cb71f864c00fe6c463",
"lessThan": "967566ad325b42150483e81acb09ea9d800c00b8",
"versionType": "git"
},
{
"status": "affected",
"version": "e21aa341785c679dd409c8cb71f864c00fe6c463",
"lessThan": "17637e1a581a22466ac3620a91e099683ff9cc6f",
"versionType": "git"
},
{
"status": "affected",
"version": "e21d2b92354b3cd25dd774ebb0f0e52ff04a7861",
"versionType": "git"
},
{
"status": "affected",
"version": "85d177f56e5256e14b74a65940f981f6e3e8bb32",
"versionType": "git"
},
{
"status": "affected",
"version": "5.10.28",
"lessThan": "5.11",
"versionType": "semver"
},
{
"status": "affected",
"version": "5.11.11",
"lessThan": "5.12",
"versionType": "semver"
}
],
"programFiles": [
"arch/arm64/net/bpf_jit_comp.c",
"arch/loongarch/net/bpf_jit.c",
"arch/powerpc/net/bpf_jit_comp.c",
"arch/riscv/net/bpf_jit_comp64.c",
"arch/s390/net/bpf_jit_comp.c",
"arch/x86/net/bpf_jit_comp.c",
"include/linux/bpf.h",
"kernel/bpf/trampoline.c"
],
"defaultStatus": "unaffected"
},
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "5.12"
},
{
"status": "unaffected",
"version": "0",
"lessThan": "5.12",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "7.2.10",
"versionType": "semver",
"lessThanOrEqual": "7.2.*"
},
{
"status": "unaffected",
"version": "7.3",
"versionType": "original_commit_for_fix",
"lessThanOrEqual": "*"
}
],
"programFiles": [
"arch/arm64/net/bpf_jit_comp.c",
"arch/loongarch/net/bpf_jit.c",
"arch/powerpc/net/bpf_jit_comp.c",
"arch/riscv/net/bpf_jit_comp64.c",
"arch/s390/net/bpf_jit_comp.c",
"arch/x86/net/bpf_jit_comp.c",
"include/linux/bpf.h",
"kernel/bpf/trampoline.c"
],
"defaultStatus": "affected"
}
]
}
],
"published": "2026-10-18T16:17:33.910",
"references": [
{
"url": "https://git.kernel.org/stable/c/17637e1a581a22466ac3620a91e099683ff9cc6f",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/967566ad325b42150483e81acb09ea9d800c00b8",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}
],
"vulnStatus": "Received",
"descriptions": [
{
"lang": "en",
"value": "In the Linux kernel, the following vulnerability has been resolved:\n\nbpf: Skip detached progs in trampoline images that are still in use\n\nbpf_tramp_image_put() makes sure a trampoline image is not freed while\na task may still be running in it, but nothing similar is done for the\nprogs called by that image. Detach drops the last prog reference right\naway and the prog is freed after grace periods, on the basis that a\ntask still in the traced function skips the fexit progs once the nop at\nip_after_call is patched to a jump.\n\nThat leaves out a task sleeping in a sleepable prog that runs before\nthe detached one, which no grace period waits for:\n\n CPU 0 CPU 1\n in image I, sleeping in prog S\n detach P from I's trampoline\n -> new image, bpf_tramp_image_put(I)\n bpf_prog_put(P), last ref\n grace periods, P freed\n back from S\n __bpf_prog_enter(P)\n call P->bpf_func\n\nIf S and P are fexit progs the task is already past the patched jump,\nand fentry only images don't have one. On x86 this is an int3 in\npoisoned bpf_prog_pack memory:\n\n Oops: int3: 0000 [#1] SMP NOPTI\n CPU: 18 UID: 0 PID: 94573 Comm: x169 Not tainted 6.18.44 #1 PREEMPT(lazy)\n RIP: 0010:0xffffffffc0601d8d\n Call Trace:\n <TASK>\n ? bpf_trampoline_6442515411+0x1a4/0x21b\n bpf_lsm_bprm_committed_creds+0x5/0x10\n security_bprm_committed_creds+0x5f/0x70\n begin_new_exec+0x2d6/0x410\n ...\n\nWe hit this in production when progs attached through trampolines got\ndetached while their hooks were busy, and it was independently found\nwith a fuzzer and KASAN.\n\nHave the JITs emit a patchable nop in front of each prog call sequence\nand record it in the image. When a prog is detached, patch its nop to a\njump over the call sequence. Progs that stay attached keep running for\nthe tasks that are in the image, and ip_after_call isn't needed anymore.\n\nThe task can be in any image that isn't freed yet, not only in the\ncurrent one. It sleeps in image I1 that calls S, P and Q, then P is\ndetached and the trampoline moves to image I2, then Q is detached and\nits call is still in I1. So the trampoline keeps a list of its images\nuntil they are freed, and detaching a prog patches its nop in all of\nthem. Images hold a reference on the trampoline for that long.\n\nOn riscv and loongarch a jump of any range takes several instructions,\nand a task preempted in the middle of them could resume into half of the\nnew sequence. The nop is a single instruction there, patched to a near\nbranch through arch_bpf_trampoline_skip().\n\nWith the extra nops, BPF_MAX_TRAMP_LINKS progs no longer fit in a page\non x86 and arm64 (and already didn't on powerpc), so lower the limit\nthere like s390 does."
}
],
"lastModified": "2026-10-19T10:19:43.933",
"sourceIdentifier": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}