Odebrany

CVE-2026-89675

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

nfsd: napraw UAF w przypadku anulowania i zamykania kopiowania asynchronicznego

Kopia asynchroniczna może zostać zwolniona lub użyta po zwolnieniu podczas rozłączania programu wywołującego
(OFFLOAD_CANCEL, nfsd4_shutdown_copy, nfsd4_cancel_copy_by_sb) ścigał się
skopiuj wątek:

- find_async_copy() podbiło kopię->refcount, ale pozostawiło kopię włączoną
clp->async_copies, więc funkcja cleanup_async_copy() żniwiarza mogła zostać uruchomiona
release_copy_files() jednocześnie z funkcją wywołującą anulowanie/zamknięcie. Obydwa
put i NULL nf_src/nf_dst bez wspólnej blokady, podwójnie umieszczając
nfsd_file i wcześniejsze zwolnienie go.

- nfsd4_do_async_copy() ustawia NFSD4_COPY_F_STOPPED przed ostatecznym użyciem
kopii (nfsd_update_cmtime_attr() na kopii->nf_dst,
nfsd4_send_cb_offload()). nfsd4_stop_copy() traktuje ustawiony bit ZATRZYMANY
jako „kwątek gotowy, pomiń kthread_stop()”, więc uruchomił się program wywołujący rozbiórkę
release_copy_files() - co wstawia i NULL nf_dst - podczas gdy
kthread nadal go wyłuskiwał (NULL/UAF).

- kopia->kopia_zadanie nigdy nie była przypięta. Jednorazowy wątek sam się zbiera
return, więc funkcja get_task_struct() kthread_stop() mogła dotknąć uwolnionego
struktura_zadania.

- co_cb jest osadzony w kopii, ale funkcja nfsd4_send_cb_offload() przechowuje
odniesienie tylko na kliencie, więc jednoczesne porzucenie może być bezpłatne
kopię podczas wykonywania wywołania zwrotnego CB_OFFLOAD.

Napraw cały okres użytkowania po rozbiórce:

- find_async_copy() odłącza kopię (wyczyść cp_clp, list_del_init)
pod async_lock; ścieżki cancel, shdown i sb-cancel powodują upuszczenie pliku
odniesienie do członkostwa na liście poprzez nfs4_put_copy() po nfsd4_stop_copy().
Usuń teraz zbędną poprawkę list_del z cleanup_async_copy().

- Ponieważ odłączenie ukrywa kopię przed Reaperem, jej
cleanup_async_copy() nie może już usunąć s2s_cp_stateids kopii
wpis; ścieżki anulowania/zamknięcia/sb-cancel są teraz wywoływane
nfs4_free_copy_state() (podczas gdy cp_clp jest nadal ważny), więc
wpis nie zwisa przy zwolnionej pamięci dla pralni i
zarządzaj_cpntf_state() do wyłuskiwania.

- Nadaj kthread własne odniesienie, pobrane wcześniej z funkcji nfsd4_copy().
wake_up_process() i usunięty na końcu nfsd4_do_async_copy();
wywołaj funkcję wake_up_process() przed list_add().

- Przypnij task_struct za pomocą get_task_struct() w nfsd4_copy(), zwolniony
w nfs4_put_copy(), więc kthread_stop() jest bezpieczna zawsze, gdy kthread
wychodzi. Ustaw NFSD4_COPY_F_STOPPED tylko w nfsd4_stop_copy(), co teraz
zawsze kthread_stop()s przed release_copy_files(); ukończenie jest
nadal zgłaszane przez NFSD4_COPY_F_COMPLETED, więc
Funkcja nfsd4_has_active_async_copies() pozostaje niezmieniona. Każdy rozmówca rozbiórki
usuwa najpierw kopię z clp->async_copies, więc działa kthread_stop()
dokładnie raz.

- Weź odwołanie do kopiowania w nfsd4_send_cb_offload(), wrzucone
nfsd4_cb_offload_release(). Wątek kthread nadal posiada własne odniesienie
tam, więc refcount_inc() nie może ścigać się w finale za darmo.

- Przeczytaj cp_clp za pomocą smp_load_acquire(), aby sparować z nieuporządkowanym
autorzy set_bit()/clear_bit() (Dokumentacja/atomic_bitops.rst).

In the Linux kernel, the following vulnerability has been resolved:

nfsd: fix UAF in async copy cancel and shutdown

An async copy could be freed or used after free while a teardown caller
(OFFLOAD_CANCEL, nfsd4_shutdown_copy, nfsd4_cancel_copy_by_sb) raced the
copy kthread:

- find_async_copy() bumped copy->refcount but left the copy on
clp->async_copies, so the reaper's cleanup_async_copy() could run
release_copy_files() concurrently with a cancel/shutdown caller. Both
put and NULL nf_src/nf_dst without a common lock, double-putting the
nfsd_file and freeing it early.

- nfsd4_do_async_copy() set NFSD4_COPY_F_STOPPED before its final uses
of the copy (nfsd_update_cmtime_attr() on copy->nf_dst,
nfsd4_send_cb_offload()). nfsd4_stop_copy() treats a set STOPPED bit
as "kthread done, skip kthread_stop()", so a teardown caller ran
release_copy_files() -- which puts and NULLs nf_dst -- while the
kthread still dereferenced it (NULL/UAF).

- copy->copy_task was never pinned. The one-shot kthread self-reaps on
return, so kthread_stop()'s get_task_struct() could touch a freed
task_struct.

- co_cb is embedded in the copy, but nfsd4_send_cb_offload() held a
reference only on the client, so a concurrent teardown could free
the copy while the CB_OFFLOAD callback was in flight.

Fix the teardown lifetime as a whole:

- find_async_copy() unlinks the copy (clear cp_clp, list_del_init)
under async_lock; the cancel, shutdown, and sb-cancel paths drop the
list-membership reference via nfs4_put_copy() after nfsd4_stop_copy().
Drop the now-redundant list_del fixup from cleanup_async_copy().

- Because unlinking hides the copy from the reaper, its
cleanup_async_copy() can no longer remove the copy's s2s_cp_stateids
entry; the cancel/shutdown/sb-cancel paths now call
nfs4_free_copy_state() themselves (while cp_clp is still valid) so
the entry does not dangle at freed memory for the laundromat and
manage_cpntf_state() to dereference.

- Give the kthread its own reference, taken in nfsd4_copy() before
wake_up_process() and dropped at the end of nfsd4_do_async_copy();
call wake_up_process() before list_add().

- Pin the task_struct with get_task_struct() in nfsd4_copy(), released
in nfs4_put_copy(), so kthread_stop() is safe whenever the kthread
exits. Set NFSD4_COPY_F_STOPPED only in nfsd4_stop_copy(), which now
always kthread_stop()s before release_copy_files(); completion is
still reported via NFSD4_COPY_F_COMPLETED, so
nfsd4_has_active_async_copies() is unaffected. Each teardown caller
removes the copy from clp->async_copies first, so kthread_stop() runs
exactly once.

- Take a copy reference in nfsd4_send_cb_offload(), dropped in
nfsd4_cb_offload_release(). The kthread still holds its own reference
there, so the refcount_inc() cannot race the final free.

- Read cp_clp with smp_load_acquire() to pair with the unordered
set_bit()/clear_bit() writers (Documentation/atomic_bitops.rst).

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve