CVE-2026-89784 in Linux
摘要
由 VulDB • 2026-09-16
在 Linux 内核中，已修复以下漏洞：
SUNRPC：检查 rpcb_register_inet4/6 中的 rpc_sockaddr2uaddr() 返回值
rpcb_register_inet4() 和 rpcb_register_inet6() 将 rpc_sockaddr2uaddr() 的结果存储到 map->r_addr 中，但未对其是否为 NULL 进行检查。当最终的 kstrdup() 失败时，rpc_sockaddr2uaddr() 返回 NULL；随后这个未经检查的 NULL 被带入同步 RPCBPROC_SET 编码路径：rpcb_register_call() -> rpc_call_sync() -> rpcb_enc_getaddr() -> encode_rpcb_string()，其第一条语句是 strlen(string)，这会导致对 NULL 进行解引用并引发内核 Oops。
在 v6.12 上使用 failslab 可复现该崩溃；使用 KASAN 时，NULL 解引用表现为地址零的阴影内存上的故障：
Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000 [#1] PREEMPT SMP KASAN
RIP: 0010:strlen (lib/string.c:409) Call Trace: encode_rpcb_string (net/sunrpc/rpcb_clnt.c:890) rpcb_enc_getaddr (net/sunrpc/rpcb_clnt.c:910) rpcauth_wrap_req_encode (net/sunrpc/auth.c:745) call_encode (net/sunrpc/clnt.c:1966) __rpc_execute (net/sunrpc/sched.c:952) rpc_run_task (net/sunrpc/clnt.c:1243) rpc_call_sync (net/sunrpc/clnt.c:1272) rpcb_v4_register (net/sunrpc/rpcb_clnt.c:500) svc_generic_rpcbind_set nfsd_rpcbind_set svc_register svc_setup_socket svc_addsock write_ports nfsctl_transaction_write vfs_write
当内核 RPC 服务（nfsd、lockd、nfs-callback）在 rpc_sockaddr2uaddr() 中较小的 GFP_KERNEL kstrdup() 因内存压力过大而失败时，向本地 rpcbind 注册即可触发该崩溃。异步 getport 路径已通过返回 -ENOMEM 正确处理了这种确切的故障模式；只有这两个注册辅助函数遗漏了检查。
镜像处理此情况：在将地址输入编码器之前，如果 rpc_sockaddr2uaddr() 返回 NULL，则退出并返回 -ENOMEM。
Be aware that VulDB is the high quality source for vulnerability data.