CVE-2026-98841
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
virt: vmgenid: asignar driver_data antes de registrar los manejadores de notificación
Ambas rutas de sondeo registran su manejador de notificación antes de asignar driver_data, que el manejador desreferencia.
En la ruta de devicetree, la IRQ de notificación puede dispararse en cuanto devm_request_irq() registra el manejador: la interrupción puede estar ya pendiente en el momento del sondeo, por ejemplo cuando un VMM inyecta la notificación de cambio de generación al restaurar un invitado a partir de una instantánea tomada antes de que el controlador se sondeara (Firecracker hace exactamente esto al restaurar una instantánea).
Leer descripción completaMostrar menos
Además, la IRQ se solicita con IRQF_SHARED, por lo que otro dispositivo que comparta la línea también puede activar el manejador en un momento igual de temprano. El manejador llama entonces a vmgenid_notify(), que desreferencia driver_data, todavía NULL, y provoca un pánico:
La ruta de ACPI tiene el mismo problema de orden: el manejador se instala con acpi_install_notify_handler() antes de asignar driver_data. Las notificaciones de ACPI se despachan de forma asíncrona desde una cola de trabajo, por lo que la ventana es estrecha, pero una notificación que llegue entre ambas llamadas provoca la misma desreferencia de NULL.
Asignar driver_data antes de registrar los manejadores. El estado está completamente inicializado en ese punto, por lo que los manejadores pueden ejecutarse sin riesgo. Si el registro falla, la ruta de error del sondeo no deja ningún puntero colgante: el núcleo de controladores borra driver_data en device_unbind_cleanup().
Detalles técnicos trazas, registros y código del informe original
Unable to handle kernel NULL pointer dereference at virtual address 0000000000000010 CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.18.38+ #1 PREEMPT(none) Hardware name: linux,dummy-virt (DT) pc : vmgenid_notify.isra.0+0x24/0x8c lr : vmgenid_of_irq_handler+0x14/0x34 Call trace: vmgenid_notify.isra.0+0x24/0x8c (P) vmgenid_of_irq_handler+0x14/0x34 __handle_irq_event_percpu+0x44/0x1bc handle_irq_event+0x4c/0xb4 handle_fasteoi_irq+0xf8/0x1f8
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.17 %
- Percentil entre todas las CVEs puntuadas
- 6
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
Referencias
Mostrar las 4 referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-98841",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67",
"affectedData": [
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "e07606713a908eee8099883c8c830ebe33aaf748",
"lessThan": "538fe5efaa9704ad820ba34b4f9df135ca873d79",
"versionType": "git"
},
{
"status": "affected",
"version": "e07606713a908eee8099883c8c830ebe33aaf748",
"lessThan": "7a1e8daeaa466c6aaffa223e1afe9cfeece0dd47",
"versionType": "git"
},
{
"status": "affected",
"version": "e07606713a908eee8099883c8c830ebe33aaf748",
"lessThan": "8f42954ad8bf9bdbf574f2c437ad30cb2601f401",
"versionType": "git"
},
{
"status": "affected",
"version": "e07606713a908eee8099883c8c830ebe33aaf748",
"lessThan": "9f8139c6145cf17d690d6c414d43b4c0bef632fb",
"versionType": "git"
}
],
"programFiles": [
"drivers/virt/vmgenid.c"
],
"defaultStatus": "unaffected"
},
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "6.10"
},
{
"status": "unaffected",
"version": "0",
"lessThan": "6.10",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "6.12.113",
"versionType": "semver",
"lessThanOrEqual": "6.12.*"
},
{
"status": "unaffected",
"version": "6.18.56",
"versionType": "semver",
"lessThanOrEqual": "6.18.*"
},
{
"status": "unaffected",
"version": "7.2.10",
"versionType": "semver",
"lessThanOrEqual": "7.2.*"
},
{
"status": "unaffected",
"version": "7.3",
"versionType": "original_commit_for_fix",
"lessThanOrEqual": "*"
}
],
"programFiles": [
"drivers/virt/vmgenid.c"
],
"defaultStatus": "affected"
}
]
}
],
"published": "2026-10-18T16:17:38.417",
"references": [
{
"url": "https://git.kernel.org/stable/c/538fe5efaa9704ad820ba34b4f9df135ca873d79",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/7a1e8daeaa466c6aaffa223e1afe9cfeece0dd47",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/8f42954ad8bf9bdbf574f2c437ad30cb2601f401",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/9f8139c6145cf17d690d6c414d43b4c0bef632fb",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}
],
"vulnStatus": "Received",
"descriptions": [
{
"lang": "en",
"value": "In the Linux kernel, the following vulnerability has been resolved:\n\nvirt: vmgenid: set driver_data before registering notification handlers\n\nBoth probe paths register their notification handler before assigning\ndriver_data, which the handler dereferences.\n\nIn the devicetree path, the notification IRQ can fire as soon as\ndevm_request_irq() registers the handler: the interrupt may already be\npending at probe time, for example when a VMM injects the\ngeneration-changed notification while restoring a guest from a snapshot\nthat was taken before the driver had probed (Firecracker does exactly\nthis on snapshot restore). The IRQ is also requested with IRQF_SHARED,\nso another device sharing the line can trigger the handler just as\nearly. The handler then calls vmgenid_notify(), which dereferences the\nstill-NULL driver_data and panics:\n\n Unable to handle kernel NULL pointer dereference at virtual address 0000000000000010\n CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.18.38+ #1 PREEMPT(none)\n Hardware name: linux,dummy-virt (DT)\n pc : vmgenid_notify.isra.0+0x24/0x8c\n lr : vmgenid_of_irq_handler+0x14/0x34\n Call trace:\n vmgenid_notify.isra.0+0x24/0x8c (P)\n vmgenid_of_irq_handler+0x14/0x34\n __handle_irq_event_percpu+0x44/0x1bc\n handle_irq_event+0x4c/0xb4\n handle_fasteoi_irq+0xf8/0x1f8\n\nThe ACPI path has the same ordering problem: the handler is installed\nwith acpi_install_notify_handler() before driver_data is assigned.\nACPI notifications are dispatched asynchronously from a workqueue, so\nthe window is narrow, but a notification arriving between the two calls\nhits the same NULL dereference.\n\nAssign driver_data before registering the handlers. The state is fully\ninitialized at that point, so the handlers are safe to run. Should\nregistration fail, the probe error path leaves no dangling pointer\nbehind: the driver core clears driver_data in device_unbind_cleanup()."
}
],
"lastModified": "2026-10-19T10:19:48.197",
"sourceIdentifier": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}