CVE-2026-98544
Publiée le 2026-10-18 · Dernière modification le 2026-10-21
Le pilote `bnad` du noyau Linux, utilisé pour les adaptateurs réseau Broadcom NetXtreme-E, contient une condition de concurrence (race condition) lors de la fermeture du périphérique. Le pilote ne parvient pas à arrêter correctement le `iocpf_timer` lors du retrait du périphérique ou de la désactivation de l'interface. Comme certains minuteurs peuvent se réactiver mutuellement, un rappel de minuteur (timer callback) peut se déclencher après que la mémoire du périphérique sous-jacent a déjà été libérée.
Un attaquant capable de déclencher le retrait du pilote ou la réinitialisation d'une interface réseau pourrait provoquer un scénario d'utilisation après libération (use-after-free), entraînant un plantage du noyau et l'indisponibilité du système. Cela nécessite des privilèges de haut niveau pour manipuler les pilotes matériels, ce qui rend une exploitation à distance via un réseau peu probable. L'impact principal est un déni de service via un kernel panic.
RÉFÉRENCES
Description officielle du NVD (en anglais)
In the Linux kernel, the following vulnerability has been resolved: bna: prevent IOC timer rearm during teardown bna: prevent IOC timer rearm during teardown bnad_pci_remove() and the probe disable_ioceth path call timer_delete_sync() for ioc_timer, sem_timer and hb_timer, but not for iocpf_timer. bnad_iocpf_timeout() then takes bnad->bna_lock after free_netdev() has freed the struct bnad. Deleting iocpf_timer last does not fix this. sem_timer and iocpf_timer rearm each other: bnad_iocpf_sem_timeout() can arm iocpf_timer, and bnad_iocpf_timeout() arms sem_timer from bfa_ioc_hw_sem_get() when the semaphore is busy. timer_delete_sync() only waits out its own callback. bnad_ioceth_disable() can time out and leave that callback live. Shut all four IOC timers down with timer_shutdown_sync() on both paths, so a later mod_timer() is ignored. This issue was identified during our ongoing static-analysis research while reviewing kernel code.