CVE-2026-89539

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: SUNRPC: təkrarlanan CREDS_VALUE seçimlərini rədd edin gssx_dec_option_array() funksiyası şəbəkədən gələn seçim massivini nəzərdən keçirir və adı CREDS_VALUE ilə uyğunlaşan hər bir element üçün eyni struct svc_cred üzərində gssx_dec_linux_creds() funksiyasını çağırır. Həmin köməkçi funksiya, mövcud göstəricini azad etmədən, yeni groups_alloc() nəticəsini şərtsiz olaraq creds->cr_group_info-ya yerləşdirir: for (i = 0; i < count; i++) { ... decode name ... if (length == sizeof(CREDS_VALUE) && memcmp(p, CREDS_VALUE, sizeof(CREDS_VALUE)) == 0) { err = gssx_dec_linux_creds(xdr, creds); ... } } Buna görə də, iki CREDS_VALUE elementi daşıyan cavab ikinci iterasiyada cr_group_info-nu overwrite edir və birinci çağırış tərəfindən ayrılmış group_info-nu yetim hala salır. Əvvəlki free_creds yolu yalnız sonuncu cr_group_info-nu free_svc_cred() vasitəsilə azad edir, buna görə də birinci ayırmanın istinad sayğacı (refcount) bir səviyyəsində qalır və onun kvmalloc əsaslı yaddaş sahəsi sızır. gssp_accept_sec_context_upcall() funksiyasının daxili heç bir çağırıcısı hər cavabda birdən çox CREDS_VALUE gözləmir. Həll yolu: CREDS_VALUE seçiminin artıq dekod olunub-olunmadığını izləmək və növbəti hər hansı uyğunluqda -EINVAL qaytarmaqdır ki, beləliklə free_creds yolu quraşdırılmış tək group_info-nu azad etsin.