CVE-2026-89705 in Linux
Resumen
por VulDB • 2026-09-11
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
nfsd: restaurar rq_status_counter a un valor par en todas las rutas de salida de nfsd_dispatch()
nfsd_dispatch() establece rq_status_counter con un valor impar una vez que se ha decodificado una solicitud, y lo vuelve a establecer como par una vez que se ha procesado completamente, formando un protocolo similar al seq-lock junto con el lector sin bloqueo en nfsd_nl_rpc_status_get_dumpit().
Solo la ruta de éxito total restauraba el contador a un valor par. Las rutas de acierto en caché (RC_REPLY), descarte (RC_DROPIT / RQ_DROPME) y error de codificación devuelven después de la asignación con valor impar sin llevar nunca el contador de vuelta al estado par. Una vez que se toma una de esas rutas, rq_status_counter queda como impar: la decodificación de la siguiente solicitud ORa un 1 (sigue siendo impar) y solo una posterior codificación exitosa restaura el valor par. Mientras permanece en este estado impar, el lector dumpit trata los campos de rqstp como estables y su comprobación de reintento compara contra ese mismo valor impar inmutable, por lo que nunca detecta mutaciones concurrentes. Esto expone a la lectura sin bloqueo campos que se están modificando activamente (por ejemplo, args->ops / args->opcnt durante la decodización compuesta y el lanzamiento) al lector sin bloqueo, quien puede leer más allá del final de la matriz inline ops de 8 elementos.
Se añade una función auxiliar que avanza el contador hasta el siguiente valor par y se llama a esta en cada ruta de retorno posterior a la asignación con valor impar. La ruta de error de decodización queda intacta ya que se alcanza antes de que el contador se establezca como impar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.