Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SUNRPC：修复gssx_dec_option_array错误路径缺陷 gssx XDR 选项数组解码器中有四个耦合缺陷导致错误路径不安全：调用程序中的空取消引用、解码group_info中的引用计数泄漏以及泄漏补丁可能暴露的潜在释放后使用。gssx_dec_option_array（） 在分配 oa->data 之前设置 oa->count = 1。如果此分配失败，将返回 -ENOMEM 并返回 oa->count == 1 和 oa->data == NULL。所有其他错误路径跳至 free_oa：这会释放 oa->data 和 NULL，但也会保留 oa->count == 1。调用程序信任计数：gssp_accept_sec_context_upcall（） gssx_dec_accept_sec_context（） gssx_dec_option_array（） /* 失败，count=1 data=NULL */ data = res.options.data[0].value /* 空取消引用 */ 独立，free_creds：释放具有裸 kfree（creds） 的部分解码svc_cred。gssx_dec_linux_creds（） 将 groups_alloc（） 结果安装到 creds->cr_group_info;该对象由 kvmalloc 支持并经过 refcount，并且只有 put_group_info（） 到达 kvfree（）。普通 kfree（creds） 放弃封装程序并泄露group_info分配。修复该泄露的自然方法是在调用 kfree（creds） 之前先调用 free_svc_cred（creds），但 free_svc_cred（） 在非 NULL 时会无条件调用 creds->cr_group_info 上的 put_group_info（）。gssx_dec_linux_creds（） 中的现有 out_free_groups： path 已在该指针上调用 groups_free（） 但未将其清除，因此一旦连接 free_svc_cred（），后续的 put_group_info（） 将接触已释放的内存。同时修复所有四个问题：- 将 oa->count = 1 分配移动到 oa->data 分配下方，以便当 oa->data 为 NULL 时永远不会设置。- free_oa时将 oa->count 重置为 0：这样计数和数据保持连贯，并且调用程序会看到一个空的选项数组。- 在 free_creds 时的 kfree（creds） 之前调用 free_svc_cred（creds），从而释放 refcounted cr_group_info。free_svc_cred（） 要么明确对每个字段进行 NULL 保护（cr_group_info 具有 if（） 检查），要么委派给本身为空安全的帮助程序（字符串字段的 kfree，在 gss_mech_switch.c：342 处使用 if（gm） 进行保护的 gss_mech_put），因此，在仅写入 cr_uid/cr_gid/cr_group_info 且其他内容均为 0 的情况下，调用部分解码的svc_cred是安全的 kzalloc。- 在 gssx_dec_linux_creds（） 的 out_free_groups： 路径中，使用 put_group_info（） 而非 groups_free（） 释放 cr_group_info，以便拆卸符合 free_svc_cred（） 的 refcount 感知路径，并清除该指针，以便后续针对相同 creds 的 free_svc_cred（） 不会再次释放它。（CVE-2026-89544）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-89544

medium Nessus 插件 ID 345201

版本 1.1