CVE-2026-89667

W jądrze Linux funkcja nfsd4_drop_revoked_stid() obsługująca FREE_STATEID dla delegacji odwołanych przez administratora nie ustawiała flagi SC_STATUS_FREED przed zwolnieniem cl_lock. Bez tej flagi zwolniona delegacja była dodawana do cl_revoked, co prowadziło do use-after-free przy późniejszym przechodzeniu po tej liście w __destroy_client().

W jądrze Linux gałąź BOTH_TIME_SET w nfsd_proc_setattr() wywoływała fh_verify() wcześnie, aby setattr_prepare() mógł sprawdzić dentry. Powodowało to pominięcie fh_want_write() w nfsd_setattr(), przez co notify_change() działał bez referencji zapisu do montowania.

W jądrze Linux w module nfsd wykryto podatność use-after-free w funkcji nfsd4_sequence(). Gdy mechanizm zmniejszania sesji (shrinker) obniży se_target_maxslots poniżej se_fchannel.maxreqs, funkcja free_session_slots() może zwolnić slot aktualnie używany przez klienta, ponieważ nie sprawdza seq->slotid ani flagi NFSD4_SLOT_INUSE. Prowadzi to do uszkodzenia pamięci poprzez zapis do zwolnionego bufora sl_data[].

W jądrze Linux w module nfsd funkcja nfs4_preprocess_seqid_op() przy błędzie -EAGAIN z nfsd4_cstate_assign_replay() zwalniała referencję do stateowner, której nigdy nie pobrała, jednocześnie wyciekając referencję do stid. Prowadzi to do niedomiaru licznika referencji stateowner i use-after-free oraz może zablokować równoległe nfsd4_close_open_stateid(). Poprawka zwalnia referencję do stid przed ponowną próbą.

W jądrze Linux w funkcji nfsd4_alloc_layout_stateid występuje wyścig (race condition) — odczyt fp->fi_deleg_file odbywa się bez trzymania fi_lock, gdy rodzicielski stateid jest delegacją. Równoległe odebranie delegacji przez laundromat może wyczyścić fi_deleg_file pod fi_lock, powodując zwrócenie NULL przez nfsd_file_get() i wywołanie BUG_ON. Wyścig jest osiągalny przez klienta: dwa klienty NFS mogą go wywołać, gdy jeden trzyma delegację, a drugi otwiera ten sam plik wymuszając recall.

W jądrze Linux rdzeń workqueue czyści WORK_STRUCT_PENDING przed wywołaniem callbacku, więc delayed_work_pending() w lm_breaker_timedout() może zwrócić false, gdy worker fence już działa. Pozwala to breakerowi pobrać dodatkową referencję sc_count i zaplanować nowego workera, który łączy się z już działającym. Nadmiarowa referencja nigdy nie jest zwalniana, co powoduje wyciek layout stateid.

Implementacja NFSD w jądrze Linuxa przed wersjami 5.19.17 i 6.0.2 jest podatna na przepełnienie bufora. Klient może zmusić bufor wysyłania do zmniejszenia, wysyłając wiadomość RPC z nieprawidłowymi danymi, co prowadzi do zapisu poza przydzieloną przestrzenią bufora.

W jądrze Linux w module NFSD (serwer NFS) wykryto błąd polegający na wycieku referencji do eksportu (svc_export) podczas zwalniania stanów open i lock. Funkcja free_ol_stateid_reaplist() zwalniała stan bezpośrednio przez ->sc_free(), pomijając ścieżkę nfs4_put_stid(), która zwalnia referencję do eksportu. W efekcie referencja nigdy nie była zwalniana, co uniemożliwiało odmontowanie eksportu przez cały czas życia danego stanu.

W jądrze Linux w module nfsd nie resetowano weryfikatora zapisu (write verifier) po niepowodzeniu asynchronicznego zapisu wstecznego operacji COPY. Gdy zapis wsteczny się nie powiódł, serwer zgłaszał klientowi NFS_UNSTABLE, ale nie rotował weryfikatora, przez co klient po wykonaniu COMMIT uznawał dane za trwałe, mimo że zapis się nie udał.

W jądrze Linux funkcja nfsd_dispatch() nie przywracała rq_status_counter do wartości parzystej na wszystkich ścieżkach wyjścia (cache-hit, drop, błąd kodowania). Pozostawiony nieparzysty licznik powodował, że bezblokadowy czytnik w nfsd_nl_rpc_status_get_dumpit() uznawał pola rqstp za stabilne i mógł odczytać dane poza końcem 8-elementowej tablicy ops.