CVE-2026-53341

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: fhandle: may_decode_fh() fonksiyonundaki kilitlenmemiş ->mnt_ns okumasından kaynaklanan UAF hatası düzeltildi may_decode_fh(), herhangi bir kilit tutmadan mount::mnt_ns erişimi sağlamaktadır; bu durum, mount işleminin eşzamanlı olarak kaldırılabilmesi ve mnt_namespace yapısının bir RCU grace period sonrası eşzamanlı olarak serbest bırakılabilmesi anlamına gelir. Mount noktasının open_tree(..., OPEN_TREE_CLONE) tarafından oluşturulduğu varsayıldığında, bu yarış durumu şu şekilde gerçekleşebilir: thread 1 thread 2 RCU __do_sys_open_by_handle_at do_handle_open handle_to_path may_decode_fh is_mounted [mount::mnt_ns erişimi] [mount::mnt_ns erişimi] __do_sys_close fput_close_sync __fput dissolve_on_fput umount_tree class_namespace_excl_destructor namespace_unlock free_mnt_ns mnt_ns_tree_remove call_rcu(mnt_ns_release_rcu) mnt_ns_release_rcu mnt_ns_release kfree [mnt_namespace::user_ns erişimi] **UAF** Bu sorun, __prepend_path() fonksiyonunda olduğu gibi mount::mnt_ns erişimi etrafında rcu_read_lock() kullanılarak düzeltilmiştir. Ek olarak, mount::mnt_ns semantiği belgelenmiş ve kilitsiz okuyucularla yarışabilecek yazıcılar için WRITE_ONCE() kullanılmıştır. Aşağıdakilerden biri ayarlanmadığı sürece bu hata tetiklenemez: - CONFIG_PREEMPTION - CONFIG_RCU_STRICT_GRACE_PERIOD Çünkü bu durum, açık bir preemption olmadan bir sistem çağrısı sırasında bir RCU grace period gerçekleşmesini gerektirir. Bunun önemli bir güvenlik etkisi olduğu görülmemektedir; en kötü durumda, kullanıcı alanına bir tam sayı karşılaştırmasının sonucunu sızdırabilir (cap_capable() içindeki seviye kontrolünden), sonsuz döngüye neden olabilir veya geçersiz bir adresi dereference ederek çekirdeğin çökmesine yol açabilir.