CVE-2026-98598
En el kernel de Linux se ha resuelto la siguiente vulnerabilidad:
ipv6: Prevent rt6_insert_exception() for dying fib6_info.
Antes del commit citado, fib6_nh_flush_exceptions() establecía siempre from->exception_bucket_flushed = 1 bajo rt6_exception_lock para evitar que rt6_insert_exception() insertara una nueva excepción para un fib6_info que se está eliminando.
El indicador fue sustituido por el bit FIB6_EXCEPTION_BUCKET_FLUSHED almacenado en nh->rt6i_exception_bucket.
El problema es que ahora el bit solo se establece cuando el bucket no es NULL y fib6_nh_flush_exceptions() se invoca desde fib6_nh_release() después de que fib6_ref haya llegado ya a cero.
Leer descripción completaMostrar menos
Si rt6_insert_exception() se llama mientras el fib6_info de destino se está eliminando mediante fib6_purge_rt(), se podría crear correctamente una nueva excepción porque rt6_flush_exceptions() ya no establece el bit.
Esto crea un ciclo de referencias entre el fib6_info y la ruta de excepción, lo que provoca una fuga del fib6_info, de su dispositivo de siguiente salto y de todas las rutas por CPU en fib6_nh->rt6i_pcpu, y bloquea la desregistración del netdev.
Llamemos a fib6_drop_pcpu_from() antes de rt6_flush_exceptions(), para establecer fib6_destroying antes de rt6_exception_lock, y comprobemos f6i->fib6_destroying en rt6_insert_exception().
Tenga en cuenta que la lógica de FIB6_EXCEPTION_BUCKET_FLUSHED es código muerto y podemos limpiarla en net-next.
Detalles técnicos trazas, registros y código del informe original
[ 34.680602] unregister_netdevice: waiting for gre6 to become free. Usage count = 68 [ 44.920675] unregister_netdevice: waiting for gre6 to become free. Usage count = 68 [ 55.176582] unregister_netdevice: waiting for gre6 to become free. Usage count = 68
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.20 %
- Percentil entre todas las CVEs puntuadas
- 9
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-98598",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67",
"affectedData": [
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "cc5c073a693fa6ed7a207b0436114f68cce72434",
"lessThan": "649ffc76ed5483b2caf35ed90d3787538efc4e53",
"versionType": "git"
},
{
"status": "affected",
"version": "cc5c073a693fa6ed7a207b0436114f68cce72434",
"lessThan": "e03e77071e75ce726d877f0a4349a28b6e1f487a",
"versionType": "git"
},
{
"status": "affected",
"version": "cc5c073a693fa6ed7a207b0436114f68cce72434",
"lessThan": "0346ec2f080b40d95ed05b853bb9226289e75212",
"versionType": "git"
}
],
"programFiles": [
"net/ipv6/ip6_fib.c",
"net/ipv6/route.c"
],
"defaultStatus": "unaffected"
},
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "5.3"
},
{
"status": "unaffected",
"version": "0",
"lessThan": "5.3",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "6.18.55",
"versionType": "semver",
"lessThanOrEqual": "6.18.*"
},
{
"status": "unaffected",
"version": "7.2.9",
"versionType": "semver",
"lessThanOrEqual": "7.2.*"
},
{
"status": "unaffected",
"version": "7.3",
"versionType": "original_commit_for_fix",
"lessThanOrEqual": "*"
}
],
"programFiles": [
"net/ipv6/ip6_fib.c",
"net/ipv6/route.c"
],
"defaultStatus": "affected"
}
]
}
],
"published": "2026-10-18T16:17:12.500",
"references": [
{
"url": "https://git.kernel.org/stable/c/0346ec2f080b40d95ed05b853bb9226289e75212",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/649ffc76ed5483b2caf35ed90d3787538efc4e53",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/e03e77071e75ce726d877f0a4349a28b6e1f487a",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}
],
"vulnStatus": "Received",
"descriptions": [
{
"lang": "en",
"value": "In the Linux kernel, the following vulnerability has been resolved:\n\nipv6: Prevent rt6_insert_exception() for dying fib6_info.\n\nBefore the cited commit, fib6_nh_flush_exceptions() always set\nfrom->exception_bucket_flushed = 1 under rt6_exception_lock to\nprevent rt6_insert_exception() from inserting a new exception\nfor a dying fib6_info.\n\nThe flag was replaced with the FIB6_EXCEPTION_BUCKET_FLUSHED\nbit stored in nh->rt6i_exception_bucket.\n\nThe problem is that now the bit is only set when the bucket\nis not NULL and fib6_nh_flush_exceptions() is called from\nfib6_nh_release() after fib6_ref has already reached zero.\n\nIf rt6_insert_exception() is called while the target fib6_info\nis being removed via fib6_purge_rt(), a new exception could be\ncreated successfully because rt6_flush_exceptions() no longer\nsets the bit.\n\nThis creates a reference cycle between the fib6_info and the\nexception route, leaking the fib6_info, its nexthop device,\nand all per-CPU routes in fib6_nh->rt6i_pcpu, which stalls netdev\nunregistration.\n\n[ 34.680602] unregister_netdevice: waiting for gre6 to become free. Usage count = 68\n[ 44.920675] unregister_netdevice: waiting for gre6 to become free. Usage count = 68\n[ 55.176582] unregister_netdevice: waiting for gre6 to become free. Usage count = 68\n\nLet's call fib6_drop_pcpu_from() before rt6_flush_exceptions(),\nto set fib6_destroying before rt6_exception_lock, and check\nf6i->fib6_destroying in rt6_insert_exception().\n\nNote that FIB6_EXCEPTION_BUCKET_FLUSHED logic is dead and\nwe can clean it up in net-next."
}
],
"lastModified": "2026-10-19T10:19:21.240",
"sourceIdentifier": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}