CVE-2026-98982

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: namespace: psevdo dentry-nin mount kökü olmasına icazə verməyin d_alloc_pseudo() funksiyası borular (pipes), soketlər və heç vaxt kiminsə övladı və ya valideyni olmayan digər fayllar üçün dentry-lər təqdim edir. Onlar DCACHE_NORCU bayrağını daşıyırlar və dentry_free() onları dərhal azad edir, çünki heç bir kilidsiz yol gəzintisi (lockless path walk) onlara çata bilməz. Bu, həmin dentry mount-un kökü olmadığı müddətcə qüvvədədir. Lakin belə bir faylın /proc/self/fd/<fd> ünvanının bind mount edilməsi məhz bunu edir. alloc_file_pseudo() funksiyasının əksər çağırıcıları öz fayllarını nüvə-daxili mount-larda yerləşdirirlər və may_copy_tree() bunları rədd edir. bpf_token_create() isə etmir. O, token faylını çağırıcının təqdim etdiyi bpffs mount-una yerləşdirir və həmin mount çağırıcının mount namespace-də olduğu üçün klonlama prosesi baş verir: mount --bind /proc/self/fd/<token> <file> open_tree(tokfd, "", AT_EMPTY_PATH | OPEN_TREE_CLONE) + move_mount() Daha sonra __follow_mount_rcu() həmin mount-un ->mnt_root hissəsini yükləyir, dentry-nin d_seq və d_flags dəyərlərini oxuyur və yalnız bundan sonra mount_lock-u yoxlayır. Həmin vaxta qədər dentry artıq silinmiş ola bilər. Mount olunmamış valideynin sonuncu mntput() əməliyyatı, yalnız mount_lock altında ona bağlı qalmış övlad elementini ayırır. Övladın sahibi bundan dərhal sonra sonuncu put əməliyyatını yerinə yetirdikdə, kök dput() edilir və dərhal azad olunur, halbuki mount-u hash edilmiş şəkildə tapan gəzinti prosesi hələ də ona baxır. Kökü DCACHE_NORCU dentry olan mount-un klonlanmasını rədd edin. BPF tokeninin bind mount-u ilə onsuz da məntiqli heç nə etmək olmaz.