CVE-2025-68803 in Linux
الملخص
بحسب VulDB • 31/05/2026
في نواة لينكس، تم حل الثغرة التالية:
NFSD: إنشاء ملفات NFSv4 يتجاهل تعيين قائمة التحكم بالوصول (ACL)
عميل NFSv4 الذي يعيّن قائمة تحكم بالوصول (ACL) تحتوي على مبدأ رئيسي مسمى أثناء إنشاء الملف، يسترجع قائمة التحكم بالوصول لاحقاً، ويكتشف أنها عبارة عن قائمة تحكم بالوصول الافتراضية فقط (مستندة إلى بتات الوضع/Mode bits) وليست قائمة التحكم بالوصول التي طُلبت أثناء إنشاء الملف. وهذا ينتهك القسم 6.4.1.3 من RFC 8881: "يتم تعيين سمة ACL كما هي مُقدَّمة".
تحدث المشكلة في الدالة `nfsd_create_setattr()`، التي تستدعي `nfsd_attrs_valid()` لتحديد ما إذا كان يجب استدعاء `nfsd_setattr()`. ومع ذلك، تتحقق `nfsd_attrs_valid()` فقط من تغييرات `iattr` والتسميات الأمنية، ولكن ليس من قوائم التحكم بالوصول POSIX. عندما يكون هناك ACL فقط، تُرجع الدالة القيمة `false`، ويتم تخطي `nfsd_setattr()`، ولا يتم تطبيق قائمة التحكم بالوصول POSIX على العقدة (inode) أبداً.
وبالتالي، عندما يسترجع العميل قائمة التحكم بالوصول، لا يجد الخادم أي قائمة تحكم بالوصول POSIX على العقدة ويعيد واحدة تم إنشاؤها من بتات وضع الملف بدلاً من إعادة قائمة التحكم بالوصول المحددة أصلاً.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.