CVE-2024-46695 in Linux
Сводка
по VulDB • 21.07.2026
В ядре Linux устранена следующая уязвимость:
selinux, smack: предотвращение обхода проверки прав доступа в хуке inode_setsecctx
Мареk Греско (Marek Gresko) сообщает о том, что пользователь root на клиенте NFS может изменять метки безопасности файлов на файловой системе NFS, экспортированной с включенным параметром squash_root.
В конце комментария kerneldoc для функции __vfs_setxattr_noperm() указано:
* Эта функция требует от вызывающей стороны блокировки i_mutex inode перед ее выполнением. Она также предполагает, что вызывающая сторона выполнит соответствующие проверки прав доступа.
Функция nfsd_setattr() действительно выполняет проверку прав доступа через fh_verify() и nfsd_permission(), однако эти функции не осуществляют все те же проверки прав доступа, которые выполняются функцией security_inode_setxattr() и связанными с ней хуками LSM (Linux Security Modules).
Поскольку nfsd_setattr() является единственным потребителем функции security_inode_setsecctx(), наиболее простым решением представляется замена вызова __vfs_setxattr_noperm() на вызов __vfs_setxattr_locked(). Это исправляет указанную проблему и дополнительно обеспечивает повторный запрос (recall) конфликтующих делегирований для файла, когда клиент пытается изменить его метку безопасности.
If you want to get best quality of vulnerability data, you may have to visit VulDB.