Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - nfsd：RCU 保護cl_cb_session，用於修正工作階段拆卸時的釋放後使用 DESTROY_SESSION後，每個工作階段的拆卸路徑可以釋放工作階段，而 rpciod 仍保留取消參照 clp->cl_cb_session 的進行中回呼rpc_task。nfsd4_probe_callback_sync（） 會刷新cl_callback_wq，但一旦 nfsd4_run_cb_work（） 調用 rpc_call_async（），rpc_task 就會存在於 rpciod 上;排清工作佇列不會等待它。rpc_shutdown_client（） 確實會耗盡 rpciod 任務，但會使用 1 秒wait_event_timeout卡在 rpc_delay（） 中的任務 （例如 2 秒的NFS4ERR_DELAY重試） 可以比耗盡任務更長的時間。銷毀路徑 rpciod ------------ ------ unhash_session（ses） nfsd4_probe_callback_sync（clp） flush_workqueue（cl_callback_wq） /* 傳回;rpc_task仍然活躍 */ nfsd4_put_session_locked（ses） free_session（ses） -> kfree（ses） nfsd4_cb_sequence_done（） 讀取 cb_clp->cl_cb_session /* 釋放的 slab */ nfsd4_process_cb_update（） 中存在第二個視窗。當 __nfsd4_find_backchannel（） 傳回 NULL 時，因為 unhash_session（） 已經從 cl_sessions 中移除已銷毀的工作階段，setup_callback_client（） 會接受 v4.1 的早期傳回，因此 clp->cl_cb_session = ses 永遠不會觸發，且欄位會保留指向即將釋放的工作階段的指標。透過將 cl_cb_session 轉換為受 RCU 保護的指標來修正這兩個問題： - 將 setup_callback_client（） 中的 cl_cb_session = ses 指派移至 rpc_create（） 成功之後，因此只有在存在有效的反向通道時才會發佈。清除 nfsd4_process_cb_update（） 中錯誤傳回的cl_cb_session。兩個存放區都使用 rcu_assign_pointer（）。- 用__rcu註解cl_cb_session。所有 rpciod 端讀取器都使用 rcu_read_lock（）/rcu_dereference（） 並檢查 NULL，從而找到適當的錯誤或重新排隊路徑：encode_cb_sequence4args（）、decode_cb_sequence4resok（）、nfsd41_cb_get_slot（）、nfsd41_cb_release_slot（）、nfsd4_cb_prepare（） 和 nfsd4_cb_sequence_done（）。- 將 __free_session（） 從 kfree（） 切換為 kfree_rcu（），以便在 RCU 寬限期過後才會回收工作階段 slab，從而保證 rcu_read_lock（） 內的 rpciod 讀取器永遠不會取消參照釋放的記憶體。- 將階段作業指標傳遞至nfsd_cb_seq_status並nfsd_cb_free_slot追蹤點，而不是讓它們重新讀取cl_cb_session。- 當工作階段為 NULL 時，nfsd4_cb_prepare（） 呼叫 rpc_exit（），透過完成/釋放路徑路由以將回呼重新排入佇列。（CVE-2026-89708）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：RCU-protect cl_cb_session修复会话拆卸时的释放后使用 DESTROY_SESSION过后，每个会话拆卸路径可在 rpciod 仍保留取消引用 clp->cl_cb_session 的 inflight 回调rpc_task时释放会话。nfsd4_probe_callback_sync（） 刷新 cl_callback_wq，但一旦 nfsd4_run_cb_work（） 调用 rpc_call_async（），rpc_task存在于 rpciod 上;刷新工作队列不会等待它。rpc_shutdown_client（） 会耗尽 rpciod 任务，但使用 1 秒wait_event_timeout卡在 rpc_delay（） 中的任务（例如 2 秒NFS4ERR_DELAY重试）可超过耗尽寿命。破坏路径 rpciod ------------ ------ unhash_session（ses） nfsd4_probe_callback_sync（clp） flush_workqueue（cl_callback_wq） /* 返回;rpc_task 仍然运行 */ nfsd4_put_session_locked（ses） free_session（ses） -> kfree（ses） nfsd4_cb_sequence_done（） reads cb_clp->cl_cb_session /* 已释放的 slab */ nfsd4_process_cb_update（） 中存在第二个窗口。当 __nfsd4_find_backchannel（） 返回 NULL 时，因为 unhash_session（） 已从 cl_sessions删除已破坏的会话，setup_callback_client（） 会提早返回 v4.1，因此 clp->cl_cb_session = ses 绝不会触发，并且该字段保留指向即将释放的会话的指针。通过将 cl_cb_session 转换为受 RCU 保护的指针修复这两个问题：- 将 setup_callback_client（） 中的 cl_cb_session = ses 分配移动到 rpc_create（） 成功之后，以便仅在存在有效的反向信道时才发布。清除 nfsd4_process_cb_update（） 中返回的错误cl_cb_session。两个存储都使用 rcu_assign_pointer（）。- 用__rcu注释cl_cb_session。所有 rpciod 端阅读器使用 rcu_read_lock（）/rcu_dereference（） 并检查 NULL，然后进入适当的错误路径或重新排队路径：encode_cb_sequence4args（）、decode_cb_sequence4resok（）、nfsd41_cb_get_slot（）、nfsd41_cb_release_slot（）、nfsd4_cb_prepare（） 和 nfsd4_cb_sequence_done（）。- 将 __free_session（） 从 kfree（） 切换到 kfree_rcu（），这样会话 slab 在 RCU 宽限期过后才会被回收，从而保证 rcu_read_lock（） 内的 rpciod 读取器永远不会取消引用释放的内存。- 将会话指针传递到nfsd_cb_seq_status并nfsd_cb_free_slot跟踪点，而非让它们重新读取cl_cb_session。- nfsd4_cb_prepare（） 会在会话为 NULL 时调用 rpc_exit（），通过 done/release 路径路由以重新排队回调。（CVE-2026-89708）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - nfsd:RCU-protect cl_cb_session、セッション終了処理(ティアダウン)での use-after-free を修正します。DESTROY_SESSION後、セッションごとのティアダウンパスがセッションを解放する可能性がありますが、rpciod は依然として clp->cl_cb_session を逆参照するインフライトコールバックrpc_taskを保持しています。nfsd4_probe_callback_sync() は cl_callback_wq をフラッシュしますが、nfsd4_run_cb_work() が rpc_call_async() を呼び出すと、rpc_taskは rpciod に存在します。ワークキューのフラッシュはそれを待機しません。rpc_shutdown_client() は rpciod タスクを排出しますが、rpc_delay() にスタックしたタスク (例: 2 秒の NFS4ERR_DELAY 再試行) が排出よりも長持ちする可能性がある 1 秒wait_event_timeout使用します。パス rpciod を破壊します ------------ ------ unhash_session(ses) nfsd4_probe_callback_sync(clp) flush_workqueue(cl_callback_wq) /* 戻り値;rpc_taskまだ生きています */ nfsd4_put_session_locked(ses) free_session(ses) -> kfree(ses) nfsd4_cb_sequence_done() reads cb_clp->cl_cb_session /* 解放されたスラブ */ nfsd4_process_cb_update() に第 2 のウィンドウが存在します。破壊されたセッションを cl_sessions から unhash_session() がすでに削除しているために __nfsd4_find_backchannel() が NULL を返す場合、setup_callback_client() は v4.1 の早期リターンを受け取るため、clp->cl_cb_session = ses は決して起動されず、フィールドはもうすぐ解放されるセッションへのポインターを保持します。RCU で保護されたポインターに cl_cb_session を変換することで、両方を修正します: - setup_callback_client() の cl_cb_session = ses 割り当てを rpc_create() の成功後に移動し、動作バックチャネルが存在する場合にのみ公開されます。nfsd4_process_cb_update() でのエラーリターンのcl_cb_sessionを消去します。どちらのストアも rcu_assign_pointer() を使用します。- cl_cb_sessionに__rcu注釈を付ける。rpciod 側のすべてのリーダーは rcu_read_lock()/rcu_dereference() を使用して NULL をチェックし、適切なエラー、またはリキューパスにベイルします: encode_cb_sequence4args()、decode_cb_sequence4resok()、nfsd41_cb_get_slot()、nfsd41_cb_release_slot()、nfsd4_cb_prepare()、nfsd4_cb_sequence_done()。- __free_session() を kfree() から kfree_rcu() に切り替えて、RCU 猶予期間が経過するまでセッションスラブが再利用されないようにすることで、rcu_read_lock() 内の rpciod リーダーが解放したメモリを逆参照することがなくなります。- セッションポインターをnfsd_cb_seq_statusに渡し、トレースポイントにcl_cb_sessionを再読み込みさせるのではなくnfsd_cb_free_slotします。- nfsd4_cb_prepare() は、セッションが NULL のときに rpc_exit() を呼び出し、done/release パスを通じてルーティングして、コールバックをリキューします。(CVE-2026-89708)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - nfsd: RCU-protect cl_cb_session to fix use-after-free on session teardown After a DESTROY_SESSION the per-     session teardown path can free a session while rpciod still holds an inflight callback rpc_task that     dereferences clp->cl_cb_session. nfsd4_probe_callback_sync() flushes cl_callback_wq, but once     nfsd4_run_cb_work() has called rpc_call_async() the rpc_task lives on rpciod; flushing the workqueue does     not wait for it. rpc_shutdown_client() does drain rpciod tasks, but uses a 1-second wait_event_timeout     tasks stuck in rpc_delay() (e.g. 2-second NFS4ERR_DELAY retries) can outlive the drain. destroy path     rpciod ------------ ------ unhash_session(ses) nfsd4_probe_callback_sync(clp)     flush_workqueue(cl_callback_wq) /* returns; rpc_task still live */ nfsd4_put_session_locked(ses)     free_session(ses) -> kfree(ses) nfsd4_cb_sequence_done() reads cb_clp->cl_cb_session /* freed slab */ A     second window exists in nfsd4_process_cb_update(). When __nfsd4_find_backchannel() returns NULL because     unhash_session() has already removed the destroyed session from cl_sessions, setup_callback_client() takes     the v4.1 early return so clp->cl_cb_session = ses never fires and the field retains a pointer to the     about-to-be-freed session. Fix both by converting cl_cb_session to an RCU-protected pointer: - Move the     cl_cb_session = ses assignment in setup_callback_client() to after rpc_create() succeeds, so it is only     published when a working backchannel exists. Clear cl_cb_session on the error return in     nfsd4_process_cb_update(). Both stores use rcu_assign_pointer(). - Annotate cl_cb_session with __rcu. All     rpciod-side readers use rcu_read_lock()/rcu_dereference() and check for NULL, bailing to the appropriate     error or requeue path: encode_cb_sequence4args(), decode_cb_sequence4resok(), nfsd41_cb_get_slot(),     nfsd41_cb_release_slot(), nfsd4_cb_prepare(), and nfsd4_cb_sequence_done(). - Switch __free_session() from     kfree() to kfree_rcu() so the session slab is not reclaimed until after an RCU grace period, guaranteeing     that rpciod readers inside rcu_read_lock() never dereference freed memory. - Pass the session pointer to     the nfsd_cb_seq_status and nfsd_cb_free_slot tracepoints instead of having them re-read cl_cb_session. -     nfsd4_cb_prepare() calls rpc_exit() when the session is NULL, routing through the done/release path to     requeue the callback. (CVE-2026-89708)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
345421	Linux Distros 未修補弱點：CVE-2026-89708	Nessus	Misc.	9/12/2026	9/14/2026	critical
345421	Linux Distros 未修补的漏洞：CVE-2026-89708	Nessus	Misc.	9/12/2026	9/14/2026	critical
345421	Linux Distros のパッチ未適用の脆弱性: CVE-2026-89708	Nessus	Misc.	9/12/2026	9/14/2026	critical
345421	Linux Distros Unpatched Vulnerability : CVE-2026-89708	Nessus	Misc.	9/12/2026	9/14/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical