CVE-2026-89547

W jądrze Linuksa usunięto następującą lukę:

SUNRPC: Sprawdź przydział licznika puli svc na procesor

__svc_create() inicjuje trzy statystyki percpu_counter na pulę i
ignoruje każdą zwracaną wartość. W SMP funkcja percpu_counter_init() kończy się niepowodzeniem, gdy
__alloc_percpu_gfp() nie może spełnić alokacji, pozostawiając błąd
licznik z fbc->counters == NULL i osadzonym w nim raw_spinlock_t,
list_head i liczba nigdy nie została zainicjowana. __svc_create() zwraca
częściowo skonstruowany svc_serv na nfsd, lockd lub usługę wywołania zwrotnego NFS
w każdym razie.

Gdy usługa jest aktywna, ścieżka aktywna zwiększa się
svc_xprt_enqueue(), svc_handle_xprt() i
svc_pool_wake_idle_thread() dociera do licznika, którego wskaźnik bazowy to
NULL. Wskaźnik jest przesunięciem na procesor, więc dostęp nie powoduje błędów:
postanawia przesunąć zero w obszarze bieżącego procesora na procesor i
po cichu psuje jakąkolwiek zmienną tam istniejącą. A
/proc/fs/nfsd/pool_stats read pobiera tę samą pamięć NULL na procesor i
zwraca śmieci, a na CONFIG_DEBUG_SPINLOCK lub lockdep pojawia się
nigdy nie zainicjowana blokada.

Utworzenie uszkodzonej usługi wymaga wystąpienia błędu alokacji percpu podczas
Uruchomienie serwera RPC, więc jest dostępny tylko dla lokalnego administratora
pod presją pamięci lub wstrzykiwaniem błędów; zdalny uczestnik nie może wywołać
sam zły stan.

Sprawdź każdą wartość zwracaną przez percpu_counter_init() w __svc_create() i
nie powiedzie się, gdy alokacja się nie powiedzie, odwijając już skonfigurowane liczniki
w bieżącej puli i w każdej puli zainicjowanej przed nią. A
dyskretna percpu_counter_destroy() na licznik przy rozłączaniu zwalnia każdy z nich
przydział na procesor dokładnie raz.