CVE-2026-98707
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
wifi: mac80211: apagar el temporizador de sesión BA de RX durante el desmontaje
Desmontar una sesión BA de RX puede dejar el temporizador de sesión encolado en un tid_rx ya liberado. Posteriormente, el procesamiento de la rueda de temporizadores y la propia función de retrollamada del temporizador se ejecutan sobre memoria liberada.
Un manejador de BAR de RX puede desreferenciar tid_rx bajo RCU antes de que el desmontaje lo despublique y permanecer en su sección crítica de lectura mientras el desmontaje elimina el temporizador de sesión. El manejador obsoleto puede entonces volver a armar el temporizador después de que timer_delete_sync() retorne y antes de que la retrollamada de RCU libere tid_rx.
Leer descripción completaMostrar menos
Usar timer_shutdown_sync() hace que los intentos de rearmado sean ineficaces una vez que comienza el desmontaje. Mantener reorder_timer sin cambios: el desmontaje marca la sesión como eliminada bajo reorder_lock y su ruta de liberación comprueba ese estado antes de rearmar el temporizador. session_timer no tiene una protección equivalente porque ieee80211_rx_h_ctrl() lo rearma antes de tomar reorder_lock.
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.17 %
- Percentil entre todas las CVEs puntuadas
- 6
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
Referencias
Mostrar las 4 referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-98707",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67",
"affectedData": [
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "a87f736d942c86255e3088c606f0e3eab6bbf784",
"lessThan": "7bb2a5bd4f07192fca35644fab7d49a17bfbc861",
"versionType": "git"
},
{
"status": "affected",
"version": "a87f736d942c86255e3088c606f0e3eab6bbf784",
"lessThan": "481f9230284c27052b59c587069f232c5d84779e",
"versionType": "git"
},
{
"status": "affected",
"version": "a87f736d942c86255e3088c606f0e3eab6bbf784",
"lessThan": "09b7d5e4f88504e62ddf4ff31ebeebb3b87578ba",
"versionType": "git"
},
{
"status": "affected",
"version": "a87f736d942c86255e3088c606f0e3eab6bbf784",
"lessThan": "e588e83e5c7a0f6d7a77dbbb58927c8c8cfd598e",
"versionType": "git"
}
],
"programFiles": [
"net/mac80211/agg-rx.c"
],
"defaultStatus": "unaffected"
},
{
"repo": "https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git",
"vendor": "Linux",
"product": "Linux",
"versions": [
{
"status": "affected",
"version": "2.6.36"
},
{
"status": "unaffected",
"version": "0",
"lessThan": "2.6.36",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "6.12.113",
"versionType": "semver",
"lessThanOrEqual": "6.12.*"
},
{
"status": "unaffected",
"version": "6.18.56",
"versionType": "semver",
"lessThanOrEqual": "6.18.*"
},
{
"status": "unaffected",
"version": "7.2.10",
"versionType": "semver",
"lessThanOrEqual": "7.2.*"
},
{
"status": "unaffected",
"version": "7.3",
"versionType": "original_commit_for_fix",
"lessThanOrEqual": "*"
}
],
"programFiles": [
"net/mac80211/agg-rx.c"
],
"defaultStatus": "affected"
}
]
}
],
"published": "2026-10-18T16:17:24.230",
"references": [
{
"url": "https://git.kernel.org/stable/c/09b7d5e4f88504e62ddf4ff31ebeebb3b87578ba",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/481f9230284c27052b59c587069f232c5d84779e",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/7bb2a5bd4f07192fca35644fab7d49a17bfbc861",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
},
{
"url": "https://git.kernel.org/stable/c/e588e83e5c7a0f6d7a77dbbb58927c8c8cfd598e",
"source": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}
],
"vulnStatus": "Received",
"descriptions": [
{
"lang": "en",
"value": "In the Linux kernel, the following vulnerability has been resolved:\n\nwifi: mac80211: shut down RX BA session timer on teardown\n\nTearing down an RX BA session can leave the session timer queued on a\nfreed tid_rx. Later timer-wheel processing and the timer callback itself\nthen run against freed memory.\n\nAn RX BAR handler can dereference tid_rx under RCU before teardown\nunpublishes it and stay in its read-side critical section while teardown\ndeletes the session timer. The stale handler can then rearm the timer\nafter timer_delete_sync() returns and before the RCU callback frees\ntid_rx.\n\nUse timer_shutdown_sync() so rearm attempts become ineffective once\nteardown starts. Keep reorder_timer unchanged: teardown marks the session\nremoved under reorder_lock and its release path checks that state before\nrearming. session_timer has no equivalent guard because\nieee80211_rx_h_ctrl() rearms it before taking reorder_lock."
}
],
"lastModified": "2026-10-19T10:19:35.003",
"sourceIdentifier": "416baaa9-dc9f-4396-8d5f-8c081fb06d67"
}