CVE-2026-89669

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: nfsd: copy-notify stateid yayınlanmadan önce başlatılıyor nfsd4_copy_notify(), nfs4_alloc_init_cpntf_state() fonksiyonu cpntf durumunu s2s_cp_stateids IDR ve üst dizinin sc_cp_list yapısına çoktan bağladıktan sonra (cs_count == 1 - üyelik referansı ile ve çağıran için herhangi bir referans tutulmazken) cpntf durumunun başlatılmasını tamamlıyordu. Yarış durumundaki bir OFFLOAD_CANCEL (hazırlanmış cl_id == nn->s2s_cp_cl_id artı tahmin edilebilir so_id), manage_cpntf_state() fonksiyonuna ulaşarak girdiyi serbest bırakabilir; bu da çağıranın sonraki cpn_cnr_stateid okuma ve cp_p_stateid/cp_p_clid yazma işlemlerini serbest bırakıldıktan sonra kullanım (use-after-free) hatasına dönüştürebilirdi. Sahip olan clientid de yalnızca yayınlandıktan sonra kaydediliyordu, bu nedenle söz konusu zaman aralığında bir sahiplik kontrolünü engelleyemiyordu. nfs4_init_cp_state() girdiyi yayınlamadan önce, nfs4_alloc_init_cpntf_state() içerisinde cp_p_stateid ve cp_p_clid değerlerini kaydedin ve ek bir referansla döndürün. Çağıran, stateid değerini bu referans altında okur ve nfs4_put_cpntf_state() ile serbest bırakır; geç meydana gelen bir hata durumunda laundromat girdiyi toplar.