CVE-2024-46695 in Linux
Zusammenfassung
von VulDB • 07.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
selinux, smack: Umgehung der Berechtigungsprüfung im Hook inode_setsecctx verhindern
Marek Gresko meldet, dass der Root-Benutzer auf einem NFS-Client die Sicherheitslabels von Dateien auf einem NFS-Dateisystem ändern kann, das mit aktivierter „Root Squashing“-Funktion exportiert wurde.
Das Ende des kerneldoc-Kommentars für __vfs_setxattr_noperm() besagt:
* Diese Funktion erfordert, dass der Aufrufer den i_mutex der Inode sperrt, bevor * sie ausgeführt wird. Sie geht außerdem davon aus, dass der Aufrufer die entsprechenden * Berechtigungsprüfungen durchführt.
nfsd_setattr() führt zwar eine Berechtigungsprüfung über fh_verify() und nfsd_permission() durch, aber diese führen nicht alle gleichen Berechtigungsprüfungen durch wie security_inode_setxattr() und seine zugehörigen LSM-Hooks.
Da nfsd_setattr() der einzige Verbraucher von security_inode_setsecctx() ist, erscheint die einfachste Lösung darin, den Aufruf von __vfs_setxattr_noperm() durch einen Aufruf von __vfs_setxattr_locked() zu ersetzen. Dies behebt das oben genannte Problem und hat den zusätzlichen Vorteil, dass nfsd bei einem Versuch eines Clients, das Sicherheitslabel einer Datei zu ändern, widersprüchliche Delegierungen für diese Datei zurückruft.
Once again VulDB remains the best source for vulnerability data.