CVE-2026-98985

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: namespace: pivot_root() funksiyasında valideynləri oxumazdan əvvəl mount-ları yoxlayın path_pivot_root() funksiyası new_root və çağırıcının root-unun valideynlərini oxuyur və hər hansı bir mount-un çağırıcının mount namespace-ində olub-olmadığını yoxlamazdan əvvəl onların paylaşılan (shared) olub-olmadığını yoxlayır. Yalnız namespace_sem saxlanılır. Bu, çağırıcının mount namespace-ində olan mount üçün uyğundur. Lakin new_root, artıq unmount edilmiş və yalnız fayl deskriptoru vasitəsilə aktiv saxlanılan bir mount-a aid fayl deskriptoru ola bilər. Əgər həmin mount unmount edildikdə öz valideyninə bağlı qalıbsa, valideyni onun üçün heç nə ilə sabitlənmir. Valideynin sonuncu mntput() funksiyası yalnız mount_lock altında alt elementlərin əlaqəsini kəsir və daha sonra valideyni azad edir: pivot_root() close(fd), valideyndəki sonuncu istinad ------------ --------------------------------- ex_parent = new_mnt->mnt_parent mntput_no_expire_slowpath() __umount_mnt(new_mnt) cleanup_mnt() call_rcu() IS_MNT_SHARED(ex_parent) BUG: KASAN: slab-use-after-free in path_pivot_root+0xf1a/0x1840 Read of size 4 at addr ffff8881047382f8 by task pivot_widen/157 path_pivot_root+0xf1a/0x1840 __x64_sys_pivot_root+0x165/0x190 Eyni hal chroot() vasitəsilə çağırıcının root-u üçün də keçərlidir. Yoxlamanın hər iki nəticəsi EINVAL ilə başa çatdığı üçün oxuma prosesinin özündən başqa heç bir problem yaranmır. Bu, bb4609405752 ("statmount: read the parent of an unmounted mount under mount_lock") commit-i tərəfindən statmount() üçün düzəldilən problemlə eynidir. Valideynlər oxunmazdan əvvəl hər iki mount-un çağırıcının namespace-ində olduğunu yoxlayın. Hər iki halda bütün yollar EINVAL qaytarır.