Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFS: fix delegation_hash_table leak when nfs4_server_common_setup() fails nfs4_server_common_setup() asigna server->delegation_hash_table en primer lugar, pero server->destroy (la única ruta que libera la tabla mediante nfs4_destroy_server()) no se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: check truncate permission under inode lock nfsd_setattr() comprueba si una actualización de tamaño necesita NFSD_MAY_TRUNC antes de tomar inode_lock(). La comparación usa el tamaño del archivo obtenido mediante esa lectura sin bloqueo, pero la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: restart ssc_expire_umount walk after dropping nfsd_ssc_lock nfsd4_ssc_expire_umount() recorre nn->nfsd_ssc_mount_list con list_for_each_entry_safe(ni, tmp, ...). Para cada entrada caducada, establece nsui_busy = true, suelta nfsd_ssc_lock para…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: remove flawed WARN_ON_ONCE from nfsd_mode_check La cabecera del commit e75b23f9e323 ("nfsd: check d_can_lookup in fh_verify of directories") detalla la suposición que justificó añadir el WARN_ON_ONCE a nfsd_mode_check(); esa suposición no es…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSv4.1: fix layout segment leak on the pnfs_layout_process() forget path Cuando el servidor devuelve un nuevo stateid de layout mientras todavía se mantiene uno válido, pnfs_layout_process() llama a pnfs_mark_matching_lsegs_return() sobre la lista…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: lockd, nfsd: RCU-protect nlmsvc_ops dispatch nlmsvc_ops lo publica nfsd_lockd_init() y lo borra nfsd_lockd_shutdown() con almacenamientos simples, mientras que lockd lo desreferencia sin protección desde los puntos de despacho de fs/lockd/svcsubs.c. El…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: release path refs on follow_down() error nfsd_cross_mnt() inicializa un struct path local con mntget() y dget() antes de llamar a follow_down(). Ante un retorno negativo, la rama de error salta a out sin liberar esas referencias: follow_down()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: Reset write verifier when async COPY writeback fails COPY asíncrono captura nn->writeverf en el momento de la solicitud y lo notifica al cliente mediante CB_OFFLOAD después de que el kthread trabajador termine. Cuando el vfs_fsync_range() o el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: restore rq_status_counter to even on all nfsd_dispatch() exit paths nfsd_dispatch() establece rq_status_counter en un valor impar una vez que se ha decodificado una solicitud, y de nuevo en un valor par una vez que se ha procesado por completo,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: sample writeback error cursor before async COPY loop _nfsd_copy_file_range() toma una muestra de dst->f_wb_err en "since" después del bucle de copia y después la usa para detectar errores de writeback mediante filemap_check_wb_err() una vez que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: set SC_STATUS_FREED in nfsd4_drop_revoked_stid for delegations nfsd4_drop_revoked_stid() gestiona FREE_STATEID para las delegaciones revocadas por el administrador, pero no establece SC_STATUS_FREED antes de liberar cl_lock. revoke_delegation()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: size fh_verify server sockaddr slot by xpt_locallen Los tracepoints nfsd_fh_verify y nfsd_fh_verify_err declaran el slot de sockaddr del servidor dimensionado por xpt_remotelen, pero lo rellenan a partir de xpt_local usando xpt_locallen: Cuando…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: validate nseconds in TIME_DELEG decode paths Las ramas de decodificación TIME_DELEG_ACCESS y TIME_DELEG_MODIFY basadas en xdrgen almacenan un uint32_t nseconds sin procesar directamente en tv_nsec sin exigir nseconds < NSEC_PER_SEC. El…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: validate symlink target length in NFSv4 CREATE nfsd4_decode_create() acepta un cr_datalen sin límite procedente de la red para los destinos de enlaces simbólicos NF4LNK, lo que permite a un cliente forzar un kmalloc de hasta el tamaño máximo de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: add fh_want_write() for early-verified SETATTR in nfsd_proc_setattr() La rama BOTH_TIME_SET llama a fh_verify() de forma temprana para que setattr_prepare() pueda inspeccionar el dentry. Esto hace que nfsd_setattr() omita fh_want_write(), por lo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: block non-SAVEFH ops after FOREIGN PUTFH to prevent NULL deref Cuando CONFIG_NFSD_V4_2_INTER_SSC está habilitado, nfsd4_putfh() puede devolver éxito con fh_dentry y fh_export ambos a NULL si fh_verify() devuelve nfserr_stale y putfh->no_verify es…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: cap decoded POSIX ACL count to bound sort cost nfsd4_decode_posixacl() lee un recuento de entradas u32 de la red y lo pasa directamente a posix_acl_alloc() y sort_pacl_range(). Esta última es una ordenación de burbuja O(n^2), por lo que un…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: comprobar la propiedad del cliente al cancelar un stateid de copy-notify En la ruta OFFLOAD_CANCEL (clp != NULL), manage_cpntf_state() liberaba el estado cpntf de destino sin comprobar su propiedad. La clave de búsqueda st->si_opaque.so_id se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: borrar CALLBACK_RUNNING cuando falla la puesta en cola de la recuperación de una delegación nfsd_break_one_deleg() establece NFSD4_CALLBACK_RUNNING mediante test_and_set_bit al entrar para serializar el trabajo de recuperación (recall) y luego…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: poner a cero opcnt al liberar los argumentos compound para evitar una lectura fuera de límites nfsd4_release_compoundargs() restablece args->ops al array en línea iops[8] cuando se libera el búfer ops asignado dinámicamente, pero deja args->opcnt…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: diferir el vfree de las ops del compound para corregir un UAF en rpc_status El dumpit de netlink rpc_status recorre cada svc_rqst en curso bajo rcu_read_lock y, para las solicitudes NFSv4, lee los opnums de args->ops[]. Pero args->ops es un búfer…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: no liberar ranuras de sesión que todavía están en uso nfsd4_sequence() puede liberar la misma ranura que está procesando en ese momento. Cuando el reductor (shrinker) de sesiones ha reducido se_target_maxslots por debajo de se_fchannel.maxreqs,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: soltar el stateid, no el stateowner, al reintentar el replay de seqid_op En nfs4_preprocess_seqid_op() el stateid se obtiene de nfsd4_lookup_stateid(), que mantiene una referencia sobre el nfs4_stid (sc_count) pero no toma ninguna referencia…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: garantizar que nfsd_file_do_acquire() no use un archivo no abierto ->atomic_open puede devolver éxito sin abrir realmente el archivo. Lo indica llamando a finish_no_open(). Esto significa que dentry_create() puede devolver un archivo que no se ha…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir BUG_ON en nfsd4_alloc_layout_stateid por condición de carrera con la revocación de una delegación nfsd4_alloc_layout_stateid lee fp->fi_deleg_file sin mantener fi_lock cuando el stateid padre es una delegación. Una revocación concurrente…