CVE-2026-98802
En el kernel de Linux se ha resuelto la siguiente vulnerabilidad:
seg6: garantizar que los datos del paquete sean escribibles antes de modificar SRH y la DA de IPv6
advance_nextseg() modifica el campo Segments Left de la SRH y la dirección de destino IPv6 sin garantizar que los datos del paquete sean escribibles. seg6_next_csid_advance_arg() presenta el mismo problema cuando avanza el argumento NEXT-C-SID en la dirección de destino.
El skb puede estar clonado, por ejemplo por un socket AF_PACKET que recibe en el dispositivo de entrada. advance_nextseg() y seg6_next_csid_advance_arg() escriben entonces en los datos del paquete compartidos con el clon.
Leer descripción completaMostrar menos
Una lectura desde ese socket puede devolver el paquete modificado en lugar del recibido. La siguiente ruta simplificada muestra esto para advance_nextseg():
Llamar a skb_ensure_writable() en advance_nextseg() y en seg6_next_csid_advance_arg() antes de que modifiquen los datos del paquete. skb_ensure_writable() puede reasignar skb->head, lo que invalida los punteros a los datos del paquete obtenidos antes de la llamada. advance_nextseg() devuelve ahora un puntero válido a la SRH, o NULL si skb_ensure_writable() falla. seg6_next_csid_advance_arg() toma el puntero a la dirección de destino del skb después de skb_ensure_writable(). En caso de fallo, los llamantes descartan el paquete con SKB_DROP_REASON_NOMEM.
Detalles técnicos trazas, registros y código del informe original
__netif_receive_skb_one_core
__netif_receive_skb_core
deliver_skb [orig: users=2, cloned=0]
packet_rcv
skb_clone clon encolado en el socket AF_PACKET
consume_skb(orig) [orig: users=1, cloned=1]
ipv6_rcv
ip6_rcv_core skb_share_check: no-op [orig: users=1]
[...]
input_action_end_core
advance_nextseg escribe en los datos compartidos con el clonTraducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.15 %
- Percentil entre todas las CVEs puntuadas
- 4
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-98802",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67",
"affectedData": [
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "140f04c33bbcf89440dcaf8bef04918abff5a52d",
"lessThan": "e9141fdb7a2ead48cfcd60c681aba91d3014255b",
"versionType": "git"
},
{
"status": "affected",
"version": "140f04c33bbcf89440dcaf8bef04918abff5a52d",
"lessThan": "8ae3f4067ba4ae3a15581392f6dac422e3d3def0",
"versionType": "git"
}
],
"programFiles": [
"net/ipv6/seg6_local.c"
],
"defaultStatus": "unaffected"
},
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "4.14"
},
{
"status": "unaffected",
"version": "0",
"lessThan": "4.14",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "7.2.10",
"versionType": "semver",
"lessThanOrEqual": "7.2.*"
},
{
"status": "unaffected",
"version": "7.3",
"versionType": "original_commit_for_fix",
"lessThanOrEqual": "*"
}
],
"programFiles": [
"net/ipv6/seg6_local.c"
],
"defaultStatus": "affected"
}
]
}
],
"published": "2026-10-18T16:17:34.250",
"references": [
{
"url": "https://git.kernel.org/stable/c/8ae3f4067ba4ae3a15581392f6dac422e3d3def0",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/e9141fdb7a2ead48cfcd60c681aba91d3014255b",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}
],
"vulnStatus": "Received",
"descriptions": [
{
"lang": "en",
"value": "In the Linux kernel, the following vulnerability has been resolved:\n\nseg6: ensure packet data is writable before modifying SRH and IPv6 DA\n\nadvance_nextseg() modifies the SRH Segments Left field and the IPv6\ndestination address without ensuring the packet data is writable.\nseg6_next_csid_advance_arg() has the same problem when it advances the\nNEXT-C-SID argument in the destination address.\n\nThe skb may be cloned, for example by an AF_PACKET socket receiving on\nthe ingress device. advance_nextseg() and seg6_next_csid_advance_arg()\nthen write into the packet data shared with the clone. A read from that\nsocket can return the modified packet instead of the received one. The\nsimplified path below shows this for advance_nextseg():\n\n__netif_receive_skb_one_core\n __netif_receive_skb_core\n deliver_skb [orig: users=2, cloned=0]\n packet_rcv\n skb_clone clone queued to the AF_PACKET socket\n consume_skb(orig) [orig: users=1, cloned=1]\n ipv6_rcv\n ip6_rcv_core skb_share_check: no-op [orig: users=1]\n [...]\n input_action_end_core\n advance_nextseg writes into the data shared with the clone\n\nCall skb_ensure_writable() in advance_nextseg() and in\nseg6_next_csid_advance_arg() before they modify the packet data.\nskb_ensure_writable() may reallocate skb->head, which invalidates the\npointers into the packet data taken before the call.\nadvance_nextseg() now returns a valid SRH pointer, or NULL if\nskb_ensure_writable() fails.\nseg6_next_csid_advance_arg() takes the pointer to the destination\naddress from the skb after skb_ensure_writable().\nOn failure, the callers drop the packet with SKB_DROP_REASON_NOMEM."
}
],
"lastModified": "2026-10-19T10:19:44.260",
"sourceIdentifier": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}