CVE-2025-68736

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: landlock: Qoşulmayan kataloqların idarə edilməsi düzəldildi Qoşulmayan fayllar və ya kataloqlar, onlar bind mount vasitəsilə görünəndə və açıldıqda, lakin bind mount mənbəyindən elə bir şəkildə adlandırıldıqda və ya köçürüldükdə ortaya çıxa bilər ki, bu onları mount nöqtəsindən əlçatmaz edir (yəni, əhatə dairəsindən kənarlaşdırır). Əvvəllər qoşulmayan kataloq vasitəsilə açılan fayl və ya kataloqlara bağlı giriş hüquqları, mount nöqtəsi tapılmadığı üçün onu nəzərə almadan, əlaqəli iyerarxiya boyunca fayl sisteminin kökünə qədər gedərək toplanırdı. Bu, ziddiyyətli giriş nəticələrinə, potensial olaraq giriş hüquqlarının genişlənməsinə və xüsusilə belə yollar çap edilə bilmədiyi üçün tapılması çətin olan ad dəyişikliklərinə səbəb ola bilərdi. Sandbokslaşdırılmış tapşırığın qoşulmayan kataloq yaratması üçün onun bind mount-un alt mənbəyinə yazı girişi (yəni FS_MAKE_REG, FS_REMOVE_FILE və FS_REFER) və əlaqəli mount nöqtəsinə oxu girişi olmalıdır. Sandbokslaşdırılmış tapşırıq öz Landlock domenində təyin olunmuşdan daha çox giriş hüququ əldə edə bilmədiyi üçün, bu, mount nöqtəsi iyerarxiyasından miras alınmalı olan icazələrin çatışmazlığına görə ziddiyyətli giriş hüquqlarına səbəb ola bilərdi, halbuki bunun əvəzinə həmin mount nöqtəsi tərəfindən gizlədilmiş fayl sistemi iyerarxiyasından icazələr miras alınırdı. Landlock artıq qoşulmayan kataloqlardan açılan fayl və kataloqları, iyerarxiya gəzintisi zamanı mount nöqtəsi tapılmadıqda fayl sistemi iyerarxiyasını nəzərə almaqla və həmçinin bu qoşulmayan kataloqların açıldığı mount nöqtəsini həmişə nəzərə almaqla idarə edir. Bu, giriş hüquqlarını genişləndirəcəyi təqdirdə ad dəyişikliyinin icazə verilməməsini təmin edir [1]. Bunun əsaslandırması ondur ki, qoşulmayan iyerarxiyalar sandbokslaşdırılmış tapşırıq üçün görünməyən və ya əlçatmaz olsa belə, onlardan toplanmış giriş hüquqlarına etibar etmək, mənbə və təyinat arasındakı giriş hüququ müqayisəsi sayəsində (LANDLOCK_ACCESS_FS_REFER-ə baxın), ad dəyişikliyi zamanı giriş hüquqlarının genişlənməyəcəyi zəmanətini artırır. Belə görünə bilər ki, bu, qoşulmayan fayl və kataloqlara daha çox giriş imkanı verir, lakin təhlükəsizlik siyasətləri qiymətləndirilən bütün iyerarxiyalar üçün həmişə tətbiq edilir. Bu yeni davranış istifadəçilər üçün daha az təəccüblü və girişə nəzarət baxımından daha təhlükəsiz olmalıdır. collect_domain_accesses() funksiyasındakı yanlış WARN_ON_ONCE() kanaryası silindi və əlaqəli şərh düzəldildi. Açılmış faylların giriş hüquqları əlaqəli fayl təhlükəsizlik xassələrində saxlandığı üçün, qoşulmayan və ya linki silinmiş fayllar üçün heç bir təsir yoxdur.