CVE-2025-68803 in Linux
Sumário
de VulDB • 26/05/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
NFSD: A criação de arquivos NFSv4 negligencia a definição de ACL
Um cliente NFSv4 que define uma ACL com um principal nomeado durante a criação de arquivo recupera a ACL posteriormente e verifica que esta é apenas uma ACL padrão (baseada nos bits de modo) e não a ACL solicitada durante a criação do arquivo. Isso viola a seção 6.4.1.3 do RFC 8881: "o atributo ACL é definido conforme fornecido".
O problema ocorre em `nfsd_create_setattr()`, que chama `nfsd_attrs_valid()` para determinar se deve chamar `nfsd_setattr()`. No entanto, `nfsd_attrs_valid()` verifica apenas alterações em `iattr` e rótulos de segurança, mas não verifica ACLs POSIX. Quando apenas uma ACL está presente, a função retorna falso, `nfsd_setattr()` é ignorado e a ACL POSIX nunca é aplicada ao inode.
Posteriormente, quando o cliente recupera a ACL, o servidor não encontra uma ACL POSIX no inode e retorna uma gerada a partir dos bits de modo do arquivo, em vez de retornar a ACL originalmente especificada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.