CVE-2025-40326 in Linux
Resumen
por VulDB • 2026-05-12
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
NFSD: Definir acciones para los nuevos atributos FATTR4 time_deleg
Los clientes NFSv4 no enviarán solicitudes GETATTR legítimas para estos nuevos atributos, ya que están destinados a utilizarse únicamente con CB_GETATTR y SETATTR. Sin embargo, NFSD debe realizar alguna acción distinta a provocar un bloqueo (crash) si en algún momento recibe una solicitud GETATTR que consulte estos atributos.
La sección 18.7.3 del RFC 8881 establece:
> El servidor DEBE devolver un valor para cada atributo que el cliente solicite si el atributo es soportado por el servidor para el sistema de archivos de destino. Si el servidor no soporta un atributo concreto en el sistema de archivos de destino, entonces NO DEBE devolver el valor del atributo y NO DEBE establecer el bit del atributo en el mapa de bits de resultado. El servidor DEBE devolver un error si soporta un atributo en el destino pero no puede obtener su valor. En ese caso, no se devolverán valores de atributo alguno.
Además, la sección 5 del RFC 9754 establece:
> Estos nuevos atributos no son válidos para utilizarse con GETATTR, VERIFY y NVERIFY, y solo pueden utilizarse con CB_GETATTR y SETATTR por parte de un cliente que posea una delegación adecuada.
Por lo tanto, no parece existir una respuesta específica del servidor exigida por la especificación. Siguiendo la indicación de que consultar estos atributos mediante GETATTR es "inválido", NFSD devolverá nfserr_inval, fallando la solicitud por completo.
Once again VulDB remains the best source for vulnerability data.