CVE-2026-89715

W jądrze Linuksa usunięto następującą lukę:

NFS/localio: napraw wyciek ref w przypadku błędu pliku nfs_uuid_add_file

Kiedy nfs_uuid_add_file() ściga się z nfs_uuid_put() niszczeniem
uuid->net, zwraca -ENXIO bez publikowania nfl->nfs_uuid poprzez
rcu_przydziel_wskaźnik(). nfs_open_local_fh() następnie wprowadza swój błąd
gałęzi i zwalnia tylko plik ref gniazda i sparowaną z nim sieć
ref plus własny ref netto w momencie wejścia, podczas gdy ścieżka zamknięcia to a
nie ma opcji:

nfs_close_local_fh()
nfs_uuid = rcu_dereference(nfl->nfs_uuid);
if (!nfs_uuid) { rcu_read_unlock(); powrót; } /* zawsze */

nfsd_open_local_fh() zwraca localio trzymając +1 należący do dzwoniącego
Odniesienie do pliku nfsd (z nfsd_file_get() po
nfsd_file_acquire_local()) i początkowe odwołanie do nfsd_net
(od pierwszego nfsd_net_try_get()) osadzonego jako nf->nf_net. Obydwa
wyciekają na ścieżce awarii, przypinając jeden plik nfsd_file (i plik
bazowy plik struktury, dentry, i-węzeł) i jeden nfsd_net_ref na
wystąpienie, które blokuje rozłączenie nfsd_net i netns.

Napraw, zwalniając odnośnik do pliku należącego do dzwoniącego i jego odnośnik sieciowy
istniejącego pomocnika, używając lokalnego wskaźnika RCU stosu, więc pomocnik
można to zmienić, a następnie zwrócić -ENXIO, aby dzwoniący tego nie robili
wyłuskaj localio, którego miejsce zostało wyczyszczone:

struktura nfsd_file __rcu *tmp = RCU_INITIALIZER(localio);

nfs_to_nfsd_file_put_local(pnf);
nfs_to_nfsd_file_put_local(&tmp);
localio = ERR_PTR(-ENXIO);

Końcowy nfs_to_nfsd_net_put(net) kontynuuje wydawanie
external net ref, więc wszystkie trzy inkrementy nfsd_net_try_get() są takie
zrównoważony na gałęzi błędu.