Odebrany

CVE-2026-89665

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

nfsd: odrzuca usekundy poza zakresem w NFSv2 SETATTR/CREATE

Dekoder sattr NFSv2 konwertuje usekundy drutu na nanosekundy
svcxdr_decode_sattr():

iap->ia_atime.tv_nsec = tmp2 * NSEC_PER_USEC;

tmp2 to u32, a NSEC_PER_USEC to 1000, więc iloczyn jest obliczany w
długi bez znaku. Na ILP32 jest to 32 bity i usekundy poza zakresem
wartość taka jak 4294968 jest zawijana do tv_nsec == 704. W związku z tym korupcja
dzieje się podczas dekodowania, zanim jakakolwiek funkcja proc będzie mogła sprawdzić wartość,
a późniejsze sprawdzenie zakresu w tv_nsec dałoby wynik mieszczący się w zakresie i
zaakceptuj to. Odrzucenie w dekoderze daje odpowiedź RPC GARBAGE_ARGS.
NFSv2 nie definiuje NFSERR_INVAL, więc nie ma żadnego stanu na poziomie NFS, który można by zwrócić
z powodu zniekształconego argumentu czasu i kontrola nie może zostać przeniesiona do proc
działają w taki sam sposób, jak sprawdzanie zakresu nsec v3/v4.

Strzeż surowych sekund przed mnożeniem i odrzucaniem wartości
większa niż 1000000. usekund == 1000000 zostaje zachowane: jest to Słońce
konwencja „ustawiona na bieżący czas serwera” i system Linux w drzewie
Klient NFSv2 emituje go zarówno w polu atime, jak i mtime
touch / utimes(file, NULL) (patrz encode_sattr() i
xdr_encode_current_server_time() w fs/nfs/nfs2xdr.c). Odrzucam 1000000
zamieniłoby tę typową operację w twardą awarię dekodowania dla obu
SETATTR i UTWÓRZ. 1000000 * NSEC_PER_USEC to 10^9, co nie jest zawijane
na ILP32, więc wartość konwencji Sun przechodzi bezpiecznie. Tylko
wartości rzeczywiście wykraczające poza zakres (> 1000000) są odrzucane. Czas i
dlatego strażnicy mtime są symetryczni.

Dekoder zastosował konwencję Sun jedynie w bloku mtime, który
kasuje ATTR_ATIME_SET|ATTR_MTIME_SET, gdy mtime usekund == 1000000. Jeśli a
klient umieszcza 1000000 w polu atime, ale nie w polu mtime, plik
blok atime zapisał tv_nsec poza zasięgiem (10^9) i pozostawił ATTR_ATIME_SET
set, więc fałszywa wartość dotarła do systemu plików. Zastosuj konwencję w
również blok atime, czyszcząc ATTR_ATIME_SET, aby serwer go użył
bieżący czas i ignoruje wartość. Tam jest wyczyszczony tylko ATTR_ATIME_SET.
Blok mtime zachowuje swoje dotychczasowe zachowanie, gdzie 1000000 oznacza „ustaw
zarówno atime, jak i mtime do teraz”.

[ cel: różne poprawki, dodatki i porządki ]

In the Linux kernel, the following vulnerability has been resolved:

nfsd: reject out-of-range useconds in NFSv2 SETATTR/CREATE

The NFSv2 sattr decoder converts the wire useconds to nanoseconds in
svcxdr_decode_sattr():

iap->ia_atime.tv_nsec = tmp2 * NSEC_PER_USEC;

tmp2 is a u32 and NSEC_PER_USEC is 1000, so the product is computed in
unsigned long. On ILP32 that is 32 bits, and an out-of-range useconds
value such as 4294968 wraps to tv_nsec == 704. The corruption therefore
happens during decode, before any proc function can inspect the value,
and a later range check on tv_nsec would see an in-range result and
accept it. Rejecting in the decoder yields an RPC GARBAGE_ARGS reply.
NFSv2 defines no NFSERR_INVAL, so there is no NFS-level status to return
for a malformed time argument, and the check cannot move to the proc
function the way the v3/v4 nsec range checks do.

Guard the raw useconds before the multiplication and reject values
greater than 1000000. useconds == 1000000 is kept: it is the Sun
convention for "set to the current server time", and the in-tree Linux
NFSv2 client emits it in both the atime and the mtime field for a plain
touch / utimes(file, NULL) (see encode_sattr() and
xdr_encode_current_server_time() in fs/nfs/nfs2xdr.c). Rejecting 1000000
would turn that common operation into a hard decode failure for both
SETATTR and CREATE. 1000000 * NSEC_PER_USEC is 10^9, which does not wrap
on ILP32, so the Sun convention value passes through safely. Only
genuinely out-of-range values (> 1000000) are rejected. The atime and
mtime guards are therefore symmetric.

The decoder only applied the Sun convention in the mtime block, which
clears ATTR_ATIME_SET|ATTR_MTIME_SET when mtime useconds == 1000000. If a
client puts 1000000 in the atime field but not in the mtime field, the
atime block stored an out-of-range tv_nsec (10^9) and left ATTR_ATIME_SET
set, so the bogus value reached the filesystem. Apply the convention in
the atime block as well, clearing ATTR_ATIME_SET so the server uses its
current time and ignores the value. Only ATTR_ATIME_SET is cleared there.
The mtime block keeps its existing behavior, where 1000000 means "set
both atime and mtime to now".

[ cel: various tweaks, addenda, and clean-ups ]

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve