CVE-2026-89705
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W jądrze Linux funkcja nfsd_dispatch() nie przywracała rq_status_counter do wartości parzystej na wszystkich ścieżkach wyjścia (cache-hit, drop, błąd kodowania). Pozostawiony nieparzysty licznik powodował, że bezblokadowy czytnik w nfsd_nl_rpc_status_get_dumpit() uznawał pola rqstp za stabilne i mógł odczytać dane poza końcem 8-elementowej tablicy ops.
Ocena ryzyka
Możliwy odczyt poza granicami bufora (out-of-bounds read) przez bezblokadowy czytnik, co może prowadzić do ujawnienia danych lub awarii jądra. Podatność dotyczy mechanizmu statusu RPC w nfsd.
Rekomendacja
Zaktualizować jądro Linux do wersji z poprawką, która dodaje pomocnika przywracającego licznik do kolejnej wartości parzystej na każdej ścieżce wyjścia po zapisie wartości nieparzystej.
Inne podatności w Linux kernel (nfsd)
Zobacz wszystkie- CVE-2026-89703Krytyczne
W jądrze Linux funkcja nfsd4_drop_revoked_stid() obsługująca FREE_STATEID dla delegacji odwołanych przez administratora nie ustawiała flagi SC_STATUS_FREED przed zwolnieniem cl_lock. Bez tej flagi zwolniona delegacja była dodawana do cl_revoked, co prowadziło do use-after-free przy późniejszym przechodzeniu po tej liście w __destroy_client().
- CVE-2026-89697Krytyczne
W jądrze Linux gałąź BOTH_TIME_SET w nfsd_proc_setattr() wywoływała fh_verify() wcześnie, aby setattr_prepare() mógł sprawdzić dentry. Powodowało to pominięcie fh_want_write() w nfsd_setattr(), przez co notify_change() działał bez referencji zapisu do montowania.
- CVE-2026-89689Krytyczne
W jądrze Linux w module nfsd wykryto podatność use-after-free w funkcji nfsd4_sequence(). Gdy mechanizm zmniejszania sesji (shrinker) obniży se_target_maxslots poniżej se_fchannel.maxreqs, funkcja free_session_slots() może zwolnić slot aktualnie używany przez klienta, ponieważ nie sprawdza seq->slotid ani flagi NFSD4_SLOT_INUSE. Prowadzi to do uszkodzenia pamięci poprzez zapis do zwolnionego bufora sl_data[].
- CVE-2026-89688Krytyczne
W jądrze Linux w module nfsd funkcja nfs4_preprocess_seqid_op() przy błędzie -EAGAIN z nfsd4_cstate_assign_replay() zwalniała referencję do stateowner, której nigdy nie pobrała, jednocześnie wyciekając referencję do stid. Prowadzi to do niedomiaru licznika referencji stateowner i use-after-free oraz może zablokować równoległe nfsd4_close_open_stateid(). Poprawka zwalnia referencję do stid przed ponowną próbą.
- CVE-2026-89686Krytyczne
W jądrze Linux w funkcji nfsd4_alloc_layout_stateid występuje wyścig (race condition) — odczyt fp->fi_deleg_file odbywa się bez trzymania fi_lock, gdy rodzicielski stateid jest delegacją. Równoległe odebranie delegacji przez laundromat może wyczyścić fi_deleg_file pod fi_lock, powodując zwrócenie NULL przez nfsd_file_get() i wywołanie BUG_ON. Wyścig jest osiągalny przez klienta: dwa klienty NFS mogą go wywołać, gdy jeden trzyma delegację, a drugi otwiera ten sam plik wymuszając recall.
- CVE-2026-89681Krytyczne
W jądrze Linux rdzeń workqueue czyści WORK_STRUCT_PENDING przed wywołaniem callbacku, więc delayed_work_pending() w lm_breaker_timedout() może zwrócić false, gdy worker fence już działa. Pozwala to breakerowi pobrać dodatkową referencję sc_count i zaplanować nowego workera, który łączy się z już działającym. Nadmiarowa referencja nigdy nie jest zwalniana, co powoduje wyciek layout stateid.
- CVE-2022-43945Wysokie
Implementacja NFSD w jądrze Linuxa przed wersjami 5.19.17 i 6.0.2 jest podatna na przepełnienie bufora. Klient może zmusić bufor wysyłania do zmniejszenia, wysyłając wiadomość RPC z nieprawidłowymi danymi, co prowadzi do zapisu poza przydzieloną przestrzenią bufora.
- CVE-2026-90236Niskie ryzyko· EPSS 11%
W jądrze Linux w module NFSD (serwer NFS) wykryto błąd polegający na wycieku referencji do eksportu (svc_export) podczas zwalniania stanów open i lock. Funkcja free_ol_stateid_reaplist() zwalniała stan bezpośrednio przez ->sc_free(), pomijając ścieżkę nfs4_put_stid(), która zwalnia referencję do eksportu. W efekcie referencja nigdy nie była zwalniana, co uniemożliwiało odmontowanie eksportu przez cały czas życia danego stanu.
- CVE-2026-89706Wysokie
W jądrze Linux w module nfsd nie resetowano weryfikatora zapisu (write verifier) po niepowodzeniu asynchronicznego zapisu wstecznego operacji COPY. Gdy zapis wsteczny się nie powiódł, serwer zgłaszał klientowi NFS_UNSTABLE, ale nie rotował weryfikatora, przez co klient po wykonaniu COMMIT uznawał dane za trwałe, mimo że zapis się nie udał.
- CVE-2026-89704Wysokie
W jądrze Linux funkcja _nfsd_copy_file_range() próbkowała kursor błędu zapisu wstecznego (dst->f_wb_err) po pętli kopiowania, a nie przed nią. Współbieżne COMMIT lub stabilny WRITE mogły przesunąć kursor, przez co błąd zapisu nie był wykrywany i ustawiano NFSD4_COPY_F_COMMITTED mimo niepowodzenia zapisu.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: nfsd: restore rq_status_counter to even on all nfsd_dispatch() exit paths nfsd_dispatch() sets rq_status_counter to an odd value once a request has been decoded, and back to an even value once it has been fully processed, forming a seq-lock like protocol with the lockless reader in nfsd_nl_rpc_status_get_dumpit(). Only the fully successful path restored the counter to even. The cache-hit (RC_REPLY), drop (RC_DROPIT / RQ_DROPME) and encode-error paths all return after the odd-valued store without ever bringing the counter back to even. Once one of those paths is taken, rq_status_counter is left odd: the next request's decode ORs in 1 (still odd) and only a subsequent successful encode restores even. While stuck odd, the dumpit reader treats the rqstp fields as stable and its retry check compares against the same unchanging odd value, so it never detects concurrent mutation. This exposes actively mutating fields (e.g. args->ops / args->opcnt during compound decode and release) to the lockless reader, which can read past the end of the 8-element inline ops array. Add a helper that advances the counter to the next even value and call it on every return path that follows the odd-valued store. The decode-error path is left untouched as it is reached before the counter is set odd.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS