Una vulnerabilidad crítica de use-after-free (UAF) en la disciplina de cola sch_cake del kernel de Linux afecta a CentOS 9, permitiendo a usuarios locales obtener privilegios de root. La firma de seguridad SSD Secure Disclosure publicó los detalles el 5 de febrero de 2026, destacando que la falla ganó el primer lugar en la categoría Linux en TyphoonPWN 2025. 

Una vulnerabilidad crítica de uso después de liberación (UAF) en la disciplina de cola (Qdisc) sch_cake del kernel de Linux afecta a CentOS 9, permitiendo a usuarios locales obtener privilegios de root.

La firma de seguridad SSD Secure Disclosure publicó los detalles el 5 de febrero de 2026, señalando que la falla ganó el primer lugar en la categoría Linux en TyphoonPWN 2025.

El problema surge en la función cake_enqueue del Qdisc CAKE, que devuelve NET_XMIT_SUCCESS incluso después de descartar paquetes debido a límites de búfer.

Esto engaña a los Qdiscs jerárquicos padres como HFSC, llevando a una gestión incorrecta del estado y a un UAF al desencolar paquetes. Los atacantes pueden explotar esto para ejecutar código arbitrario en el contexto del kernel, logrando una escalada de privilegios local (LPE).

Cuando buffer_used excede buffer_limit, cake_enqueue descarta paquetes mediante cake_drop pero señala éxito. En una configuración apilada (HFSC sobre CAKE), HFSC encola sin verificar errores, llamando a init_ed para añadir la clase a su lista activa.

Al eliminar la clase HFSC, se purga el Qdisc CAKE hijo mediante qdisc_purge_queue, pero como CAKE está vacío, qlen_notify omite su eliminación de la lista activa de HFSC.

Esto deja un puntero colgante. Durante hfsc_dequeue, eltree_get_mindl selecciona la clase liberada, y qdisc_dequeue_peeked desencadena el UAF en cl->qdisc. El exploit aprovecha esto para controlar el RIP mediante un Qdisc falso con gadgets ROP.

Falla clave en cake_enqueue:

textif (q->buffer_used > q->buffer_limit) {
    // descarta paquetes
}
return NET_XMIT_SUCCESS;  // Engaña al padre

Detalles de explotación

La prueba de concepto (PoC) evade KASLR utilizando ataques de temporización por canal lateral de prefetch, rociando Qdiscs falsos mediante sendmsg con mensajes de control manipulados. Consulta el aviso para más detalles.

Configura HFSC (0x10000) con clases, añade un hijo CAKE, desencadena el descarte mediante envíos en loopback, elimina la clase para crear el UAF y luego rocía una cadena ROP para sobrescribir modprobe_path. Finalmente, activa modprobe para obtener una shell de root mediante un tipo de archivo no manejado.

Aún no hay puntuación CVSS, pero el impacto es alto: un atacante local puede obtener root en sistemas CentOS 9 que usen CAKE.

Red Hat (proveedor de CentOS) fue notificado hace más de 90 días; su respuesta: “Trabajo en progreso, aún no hay lanzamiento”. Fallos similares en CAKE (como CVE-2022-50452, desreferencia nula) se parchearon mediante actualizaciones del kernel.

Pasos de mitigación

• Evita el Qdisc CAKE: tc qdisc del dev lo root o cambia a alternativas como HTB.
• Monitorea comandos tc y tráfico netlink inusual.
• Actualiza el kernel cuando esté parcheado; desactiva módulos Qdisc innecesarios.
• Usa espacios de nombres y aislamiento de usuarios para cargas de trabajo riesgosas.

Esta LPE destaca los riesgos en el control de tráfico del kernel; los administradores deben auditar el uso de Qdiscs de inmediato.