Descripción
Linux Kernel contiene una vulnerabilidad de verificación incorrecta de condiciones inusuales o excepcionales en la ruta de recepción TLS que permite que un registro de longitud cero obtenido de rx_list omita el manejo previsto del tipo de registro en recvmsg(), lo que podría provocar que los registros TLS posteriores se procesen con supuestos incorrectos de zero-copy y de encolamiento. Los productos afectados podrían haber alcanzado el fin de vida útil (EoL) y/o el fin de servicio (EoS). Se recomienda a los usuarios discontinuar su uso y/o migrar a una versión con soporte.
Acción recomendada
Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 26-04.
Referencias
-
Esta vulnerabilidad afecta a un componente de código abierto, biblioteca de terceros, protocolo o implementación propietaria que podría ser utilizado por distintos productos. Para más información, consulte:
- Aviso de git.kernel.org git.kernel.org/stable/c/2902c3ebcca52ca845c03182000e8d71d3a5196f
- Aviso de git.kernel.org git.kernel.org/stable/c/c09dd3773b5950e9cfb6c9b9a5f6e36d06c62677
- Aviso de git.kernel.org git.kernel.org/stable/c/3439c15ae91a517cf3c650ea15a8987699416ad9
- Aviso de git.kernel.org git.kernel.org/stable/c/29c0ce3c8cdb6dc5d61139c937f34cb888a6f42e
- Aviso de git.kernel.org git.kernel.org/stable/c/62708b9452f8eb77513115b17c4f8d1a22ebf843
- BOD 26-04 cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updat…
- Requisitos de triaje forense cisa.gov/news-events/directives/bod-26-04-implementation-guidance-pri…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-39682
Ver el texto original en inglés (CISA)
Linux Kernel Improper Check for Unusual or Exceptional Conditions Vulnerability
Linux Kernel contains an improper check for unusual or exceptional conditions vulnerability in the TLS receive path which allows a zero-length record retrieved from the rx_list to bypass the intended recvmsg() record-type handling, potentially causing subsequent TLS records to be processed using incorrect zero-copy and queuing assumptions. The impacted product(s) could be end-of-life (EoL) and/or end-of-service (EoS). Users are advised to discontinue use and/or transition to a supported version.
Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Notes: This vulnerability affects an open-source component, third-party library, protocol, or proprietary implementation that could be used by different products. For more information, please see: ; https://git.kernel.org/stable/c/2902c3ebcca52ca845c03182000e8d71d3a5196f; https://git.kernel.org/stable/c/c09dd3773b5950e9cfb6c9b9a5f6e36d06c62677; https://git.kernel.org/stable/c/3439c15ae91a517cf3c650ea15a8987699416ad9; https://git.kernel.org/stable/c/29c0ce3c8cdb6dc5d61139c937f34cb888a6f42e; https://git.kernel.org/stable/c/62708b9452f8eb77513115b17c4f8d1a22ebf843 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2025-39682
Otras vulnerabilidades de Linux en el catálogo
- CVE-2026-53266 Vulnerabilidad de escritura fuera de límites en Linux Kernel Alta 18-09-2026
- CVE-2025-39964 Vulnerabilidad de condición de carrera en Linux Kernel Alta 18-09-2026
- CVE-2026-53362 Vulnerabilidad no especificada en Linux Kernel Alta 27-08-2026
- CVE-2022-0995 Vulnerabilidad de escritura fuera de límites en Linux Kernel Alta 26-08-2026
- CVE-2022-0492 Vulnerabilidad de autenticación incorrecta en Linux Kernel Alta 02-06-2026