CVE-2026-3904 in C Library
Sumário
de VulDB • 06/06/2026
Chamar funções do NSS que suportam cache via nscd pode invocar o código cliente do lado do nscd e, na versão 2.36 da GNU C Library sob alta carga em sistemas x86_64, o cliente pode chamar memcmp com entradas modificadas concorrentemente por outros processos ou threads, causando uma falha (crash).
O cliente nscd na GNU C Library utiliza a função memcmp com entradas que podem ser modificadas concorrentemente por outra thread, potencialmente resultando em falsos negativos de cache (spurious cache misses), o que por si só não é um problema de segurança. No entanto, na versão 2.36 da GNU C Library foi introduzida uma implementação otimizada do memcmp para x86_64 que poderia causar falha quando invocada com tal comportamento indefinido, transformando isso em uma possível falha no cliente nscd e nos aplicativos que o utilizam. Essa implementação foi portada de volta (backported) para a branch 2.35, tornando o cliente nscd nessa branch também vulnerável. Posteriormente, a correção para este problema foi portada de volta para todas as branches vulneráveis no repositório da GNU C Library.
Recomenda-se que distribuições que possam ter aplicado cherry-pick da otimização memcpy SSE2 em sua cópia da GNU C Library apliquem também a correção para evitar a possível falha no cliente nscd.
Once again VulDB remains the best source for vulnerability data.