CVE-2026-98677
En el kernel de Linux se ha resuelto la siguiente vulnerabilidad:
iio: adc: ad_sigma_delta: corregir use-after-free al desvincular
ad_sd_buffer_postenable() asigna sigma_delta->samples_buf con devm_krealloc() en tiempo de ejecución, por lo que su entrada de devres se sitúa después de todas las entradas de devres de la fase de sondeo del controlador. Los recursos de devm se liberan en orden inverso al de asignación, lo que significa que al desvincular se libera samples_buf antes de que iio_device_unregister() deshabilite los búferes y desacople el pollfunc del disparador. La IRQ de disponibilidad de datos sigue habilitada en ese momento, de modo que ad_sd_trigger_handler() aún puede ejecutarse y copiar con memcpy() las muestras entrantes en samples_buf ya liberado.
Leer descripción completaMostrar menos
Para corregirlo, se preasigna el búfer en devm_ad_sd_setup_buffer_and_trigger(), antes de configurar el búfer activado por disparador y la IRQ, de modo que solo se libere después de que iio_device_unregister() haya vaciado el manejador del disparador mediante free_irq(). Se dimensiona para el peor caso, con todas las ranuras del secuenciador activas; ad_sd_validate_scan_mask() ya limita el número de canales activos a num_slots.
Este problema fue detectado por una herramienta interna de análisis estático.
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.20 %
- Percentil entre todas las CVEs puntuadas
- 9
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
Referencias
Mostrar las 4 referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-98677",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67",
"affectedData": [
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "8bea9af887de4c99a95f93f2ce400ef63e8b4e9b",
"lessThan": "84500ae0d976995a6870cb1dca2d124b6b2d6e5a",
"versionType": "git"
},
{
"status": "affected",
"version": "8bea9af887de4c99a95f93f2ce400ef63e8b4e9b",
"lessThan": "f20b94a7dc1ff9ade191ce839c984210fdbdc653",
"versionType": "git"
},
{
"status": "affected",
"version": "8bea9af887de4c99a95f93f2ce400ef63e8b4e9b",
"lessThan": "5663c72bf400231e90777982216797191887a6b9",
"versionType": "git"
},
{
"status": "affected",
"version": "8bea9af887de4c99a95f93f2ce400ef63e8b4e9b",
"lessThan": "9ee8306121495d2a25aa5d1bfd519f2748786b83",
"versionType": "git"
}
],
"programFiles": [
"drivers/iio/adc/ad_sigma_delta.c"
],
"defaultStatus": "unaffected"
},
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "5.19"
},
{
"status": "unaffected",
"version": "0",
"lessThan": "5.19",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "6.12.113",
"versionType": "semver",
"lessThanOrEqual": "6.12.*"
},
{
"status": "unaffected",
"version": "6.18.56",
"versionType": "semver",
"lessThanOrEqual": "6.18.*"
},
{
"status": "unaffected",
"version": "7.2.10",
"versionType": "semver",
"lessThanOrEqual": "7.2.*"
},
{
"status": "unaffected",
"version": "7.3",
"versionType": "original_commit_for_fix",
"lessThanOrEqual": "*"
}
],
"programFiles": [
"drivers/iio/adc/ad_sigma_delta.c"
],
"defaultStatus": "affected"
}
]
}
],
"published": "2026-10-18T16:17:21.057",
"references": [
{
"url": "https://git.kernel.org/stable/c/5663c72bf400231e90777982216797191887a6b9",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/84500ae0d976995a6870cb1dca2d124b6b2d6e5a",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/9ee8306121495d2a25aa5d1bfd519f2748786b83",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/f20b94a7dc1ff9ade191ce839c984210fdbdc653",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}
],
"vulnStatus": "Received",
"descriptions": [
{
"lang": "en",
"value": "In the Linux kernel, the following vulnerability has been resolved:\n\niio: adc: ad_sigma_delta: fix use-after-free on unbind\n\nad_sd_buffer_postenable() allocates sigma_delta->samples_buf with\ndevm_krealloc() at runtime, so its devres entry sits after all\nprobe-time entries of the driver. devm resources are released in\nreverse allocation order, which means unbind frees samples_buf before\niio_device_unregister() disables the buffers and detaches the trigger\npollfunc. The data ready IRQ is still enabled at that point, so\nad_sd_trigger_handler() can still run and memcpy() incoming samples\ninto the freed samples_buf.\n\nFix this by preallocating the buffer in\ndevm_ad_sd_setup_buffer_and_trigger(), before the triggered buffer and\nthe IRQ are set up, so it is freed only after iio_device_unregister()\nhas drained the trigger handler via free_irq(). Size it for the worst\ncase of all sequencer slots being active; ad_sd_validate_scan_mask()\nalready caps the number of active channels at num_slots.\n\nThis issue was found by an in-house static analysis tool."
}
],
"lastModified": "2026-10-19T10:19:32.173",
"sourceIdentifier": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}