CVE-2026-98850
En el kernel de Linux se ha resuelto la siguiente vulnerabilidad:
net/packet: prevenir el desbordamiento del contador de bytes de TX_RING
tpacket_snd() recorre todos los fotogramas SEND_REQUEST de un anillo TX y suma la longitud de cada paquete válido al entero con signo len_sum. El espacio de usuario puede reciclar fotogramas completados de forma concurrente, por lo que una única llamada de envío bloqueante no está limitada por el tamaño del anillo.
Tras suficientes transmisiones correctas, len_sum pasa al rango negativo. En particular, 65536 fotogramas de 65535 bytes seguidos de un fotograma de 65007 bytes producen 0xfffffdef, es decir, -EIOCBQUEUED. sock_sendmsg_nosec() trata ese valor como un retorno imposible y provoca un BUG. En sistemas configurados para entrar en pánico ante un oops, un titular de CAP_NET_RAW puede provocar el pánico del kernel del host.
Leer descripción completaMostrar menos
Detener el envío antes de que el siguiente fotograma haga que el contador de bytes supere INT_MAX. El recuento corto positivo deja ese fotograma pendiente para una llamada de envío posterior.
Un reproductor de dos hilos con TPACKET_V2 provocó el BUG en una compilación arm64 de Linux 7.3-rc4. Con este cambio, el mismo reproductor devolvió el recuento corto positivo esperado sin ningún oops.
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.16 %
- Percentil entre todas las CVEs puntuadas
- 4
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
Referencias
Mostrar las 4 referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-98850",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67",
"affectedData": [
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "69e3c75f4d541a6eb151b3ef91f34033cb3ad6e1",
"lessThan": "be12b221c0301111eeb023be04add3c6ad7c21fe",
"versionType": "git"
},
{
"status": "affected",
"version": "69e3c75f4d541a6eb151b3ef91f34033cb3ad6e1",
"lessThan": "69ca64bbb528898916f309552053c32a04a36ebc",
"versionType": "git"
},
{
"status": "affected",
"version": "69e3c75f4d541a6eb151b3ef91f34033cb3ad6e1",
"lessThan": "9fd63d284e251332f4874ef9023cde472f315f86",
"versionType": "git"
},
{
"status": "affected",
"version": "69e3c75f4d541a6eb151b3ef91f34033cb3ad6e1",
"lessThan": "2cf81fc9505b148b1b70068303ea6ea4b1212403",
"versionType": "git"
}
],
"programFiles": [
"net/packet/af_packet.c"
],
"defaultStatus": "unaffected"
},
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "2.6.31"
},
{
"status": "unaffected",
"version": "0",
"lessThan": "2.6.31",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "6.12.113",
"versionType": "semver",
"lessThanOrEqual": "6.12.*"
},
{
"status": "unaffected",
"version": "6.18.56",
"versionType": "semver",
"lessThanOrEqual": "6.18.*"
},
{
"status": "unaffected",
"version": "7.2.10",
"versionType": "semver",
"lessThanOrEqual": "7.2.*"
},
{
"status": "unaffected",
"version": "7.3",
"versionType": "original_commit_for_fix",
"lessThanOrEqual": "*"
}
],
"programFiles": [
"net/packet/af_packet.c"
],
"defaultStatus": "affected"
}
]
}
],
"published": "2026-10-18T16:17:39.390",
"references": [
{
"url": "https://git.kernel.org/stable/c/2cf81fc9505b148b1b70068303ea6ea4b1212403",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/69ca64bbb528898916f309552053c32a04a36ebc",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/9fd63d284e251332f4874ef9023cde472f315f86",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/be12b221c0301111eeb023be04add3c6ad7c21fe",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}
],
"vulnStatus": "Received",
"descriptions": [
{
"lang": "en",
"value": "In the Linux kernel, the following vulnerability has been resolved:\n\nnet/packet: prevent TX_RING byte count overflow\n\ntpacket_snd() drains every SEND_REQUEST frame in a TX ring and adds\neach valid packet length to the signed int len_sum. Userspace can\nrecycle completed frames concurrently, so a single blocking send call\nis not bounded by the ring size.\n\nAfter enough successful transmissions len_sum wraps into the negative\nrange. In particular, 65536 65535-byte frames followed by a 65007-byte\nframe produce 0xfffffdef, or -EIOCBQUEUED. sock_sendmsg_nosec() treats\nthat as an impossible return and triggers a BUG. On systems configured\nto panic on oops, a CAP_NET_RAW holder can panic the host kernel.\n\nStop before the next frame would make the byte count exceed INT_MAX.\nThe positive short count leaves that frame pending for a later send\ncall.\n\nA two-thread TPACKET_V2 reproducer triggered the BUG on an arm64 build\nof Linux 7.3-rc4. With this change, the same reproducer returned the\nexpected positive short count without an oops."
}
],
"lastModified": "2026-10-19T10:19:49.103",
"sourceIdentifier": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}