CVE-2026-89670

W jądrze Linuksa usunięto następującą lukę:

nfsd: przytrzymaj rcu przez localio cmpxchg, ponów próbę

obiekty nfsd_file są zwalniane poprzez call_rcu (filecache.c:296) i
nfsd_file_slab jest tworzony bez SLAB_TYPESAFE_BY_RCU
(KMEM_CACHE(nfsd_file, 0) w filecache.c:789), więc strona płyty
kopia zapasowa uwolnionego pliku nfsd_file będzie można swobodnie odzyskać po RCU
upłynie okres karencji.

Ponownie: blok retry w nfsd_open_local_fh() ładuje wskaźnik
cmpxchg, a następnie wywołuje nfsd_file_get(new) (czyli
refcount_inc_not_zero) bez trzymania rcu_read_lock. Jedyny rozmówca
nfs_open_local_fh() usuwa rcu_read_lock przed wywołaniem tego pomocnika,
więc żadna zewnętrzna sekcja krytyczna po stronie czytnika nie pokrywa obciążenia.

Procesor 0 (nfsd_open_local_fh) Procesor 1 (nfsd_file_put_local)
----- -----
nowy = cmpxchg(pnf, NULL, ...)
nf = xchg(pnf, NULL)
nfsd_file_put(nf)
ostatni ref -> call_rcu()
/* upływa okres karencji;
strona płyty z recyklingu */
nfsd_file_get (nowy)
refcount_inc_not_zero(&nowy->nf_ref)
/* działa na pamięci odzyskanej */

Niezerowe słowo w przesunięciu nf_ref obiektu poddanego recyklingowi powoduje, że
Wydaje się, że podbicie refcount zakończyło się sukcesem, a osoba dzwoniąca następnie wyłudza referencje
nowy->nf_net i nowy->nf_file z wolnej pamięci.

Napraw, pobierając rcu_read_lock() bezpośrednio przed cmpxchg i
zwolnienie go na wszystkich trzech wyjściach bloku if (nowy): goto-agane
ponów próbę, ścieżkę czyszczenia utraconego wyścigu i ścieżkę, która zakończyła się pomyślnie instalacją.
nfsd_file_put() i nfsd_net_put() pozostają poza sekcją RCU, więc
mogą swobodnie blokować.