CVE-2026-31404

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-31404
In the Linux kernel, the following vulnerability has been resolved: NFSD: Defer sub-object cleanup in export put callbacks svc_export_put() calls path_put() and auth_domain_put() immediately when the last reference drops, before the RCU grace period. RCU readers in e_show() and c_show() access both ex_path (via seq_path/d_path) and ex_client->name (via seq_escape) without holding a reference. If cache_clean removes the entry and drops the last reference concurrently, the sub-objects are freed while still in use, producing a NULL pointer dereference in d_path. Commit 2530766492ec ("nfsd: fix UAF when access ex_uuid or ex_stats") moved kfree of ex_uuid and ex_stats into the call_rcu callback, but left path_put() and auth_domain_put() running before the grace period because both may sleep and call_rcu callbacks execute in softirq context. Replace call_rcu/kfree_rcu with queue_rcu_work(), which defers the callback until after the RCU grace period and executes it in process context where sleeping is permitted. This allows path_put() and auth_domain_put() to be moved into the deferred callback alongside the other resource releases. Apply the same fix to expkey_put(), which has the identical pattern with ek_path and ek_client. A dedicated workqueue scopes the shutdown drain to only NFSD export release work items; flushing the shared system_unbound_wq would stall on unrelated work from other subsystems. nfsd_export_shutdown() uses rcu_barrier() followed by flush_workqueue() to ensure all deferred release callbacks complete before the export caches are destroyed. Reviwed-by: Jeff Layton <jlayton@kernel.org>

7.8 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 1.8 / Impact : 5.9

Attack Vector LOCAL

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact HIGH

Scope UNCHANGED

References
Link Resource
https://git.kernel.org/stable/c/2829e80d29b627886d12b5ea40856d56b516e67d Patch
https://git.kernel.org/stable/c/48db892356d6cb80f6942885545de4a6dd8d2a29 Patch
https://git.kernel.org/stable/c/f5ab1bec5fa18731e0b1b1e60c9a68667ac73ea2 Patch
Configurations

Configuration 1 (hide)

OR cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:7.0:rc1:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:7.0:rc2:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:7.0:rc3:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:7.0:rc4:*:*:*:*:*:*
History

24 Jul 2026, 22:10

Type Values Removed Values Added
Summary
  • (es) En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta: NFSD: Aplazar la limpieza de subobjetos en las retrollamadas de liberación de exportación svc_export_put() llama a path_put() y auth_domain_put() inmediatamente cuando la última referencia se elimina, antes del período de gracia de RCU. Los lectores de RCU en e_show() y c_show() acceden tanto a ex_path (a través de seq_path/d_path) como a ex_client -> name (a través de seq_escape) sin mantener una referencia. Si cache_clean elimina la entrada y elimina la última referencia concurrentemente, los subobjetos son liberados mientras aún están en uso, produciendo una desreferenciación de puntero NULL en d_path. El Commit 2530766492ec ('nfsd: corregir UAF al acceder a ex_uuid o ex_stats') movió kfree de ex_uuid y ex_stats a la retrollamada call_rcu, pero dejó path_put() y auth_domain_put() ejecutándose antes del período de gracia porque ambos pueden entrar en suspensión y las retrollamadas call_rcu se ejecutan en contexto de softirq. Reemplazar call_rcu/kfree_rcu con queue_rcu_work(), lo que aplaza la retrollamada hasta después del período de gracia de RCU y la ejecuta en contexto de proceso donde se permite la suspensión. Esto permite que path_put() y auth_domain_put() sean movidos a la retrollamada aplazada junto con las otras liberaciones de recursos. Aplicar la misma corrección a expkey_put(), que tiene el patrón idéntico con ek_path y ek_client. Una cola de trabajo dedicada limita el alcance del vaciado de apagado solo a los elementos de trabajo de liberación de exportación de NFSD; vaciar la system_unbound_wq compartida se detendría en trabajo no relacionado de otros subsistemas. nfsd_export_shutdown() usa rcu_barrier() seguido de flush_workqueue() para asegurar que todas las retrollamadas de liberación aplazadas se completen antes de que se destruyan las cachés de exportación. Revisado por: Jeff Layton <jlayton@kernel.org>

20 May 2026, 12:03

Type Values Removed Values Added
CWE CWE-476
References () https://git.kernel.org/stable/c/2829e80d29b627886d12b5ea40856d56b516e67d - () https://git.kernel.org/stable/c/2829e80d29b627886d12b5ea40856d56b516e67d - Patch
References () https://git.kernel.org/stable/c/48db892356d6cb80f6942885545de4a6dd8d2a29 - () https://git.kernel.org/stable/c/48db892356d6cb80f6942885545de4a6dd8d2a29 - Patch
References () https://git.kernel.org/stable/c/f5ab1bec5fa18731e0b1b1e60c9a68667ac73ea2 - () https://git.kernel.org/stable/c/f5ab1bec5fa18731e0b1b1e60c9a68667ac73ea2 - Patch
First Time Linux linux Kernel
Linux
CPE cpe:2.3:o:linux:linux_kernel:7.0:rc4:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:7.0:rc3:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:7.0:rc2:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
cpe:2.3:o:linux:linux_kernel:7.0:rc1:*:*:*:*:*:*

27 Apr 2026, 14:16

Type Values Removed Values Added
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 7.8

03 Apr 2026, 16:16

Type Values Removed Values Added
New CVE
Information

Published : 2026-04-03 16:16

Updated : 2026-07-24 22:10

NVD link : CVE-2026-31404

Mitre link : CVE-2026-31404

CVE.ORG link : CVE-2026-31404

JSON object : View

Products Affected

linux

  • linux_kernel
CWE
CWE-476

NULL Pointer Dereference