CVE-2026-68186

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: binfmt_misc: have_execfd değerini yalnızca yorumlayıcı açıldığında ayarlayın load_misc_binary(), 'O' (veya 'C') bayrağını gördüğü anda bprm->have_execfd değerini yükseltir. Bu işlem, yorumlayıcıyı açmadan çok önce gerçekleşir. Eğer bu açma işlemi başarısız olursa, bayrak bprm üzerinde ayarlı kalır. binfmt_misc format listesinin başında yer aldığı için, -ENOEXEC döndüren bir yorumlayıcı açma hatası, aramanın daha sonraki bir formata geçmesine izin verir. Bu durum, herhangi bir yorumlayıcı aşamalandırmadan eşleşen ikili dosyanın doğrudan çalıştırılması anlamına gelir. Böylece, have_execfd yanlış bir şekilde tanımlayıcının mevcut olduğunu iddia ederken bprm->executable değeri NULL olur. Sonuç olarak, begin_new_exec() eksik olan executable referansını çözer: would_dump(bprm, bprm->executable); ve NULL deref oluşur. Öyle olmasaydı bile, aynı fonksiyonun ilerleyen kısımlarındaki devir işlemi yine de başarısız olacaktı. FD_ADD(0, bprm->executable), NULL dosyayı -ENOMEM ile reddeder. Her iki nokta da geri dönüşü olmayan noktayı geçtiği için exec işlemi her iki durumda da geri alınamaz. binfmt_misc kullanıcı ad alanlarında (user namespaces) bağlanabildiği için buna yetkisiz kullanıcılar tarafından erişilebilir. Dolayısıyla bir kullanıcı, yorumlayıcısı bir FUSE bağlama noktasında bulunan bir 'O' girişi kaydedebilir, FUSE sunucusunun açma işlemini -ENOEXEC ile başarısız kılmasına neden olabilir ve girişle eşleşen yerel bir ELF dosyasını çalıştırabilir. have_execfd, ancak tanımladığı executable ile birlikte anlam ifade eder ve bu değer, yorumlayıcı açılıp aşamalandırılana kadar ayarlanmaz. Bu nedenle, bu değeri halihazırda o noktada ayarlanmış olan execfd_creds'in yanında yükseltelim. Bir açma hatası artık bu değeri temiz bırakır; böylece yedek format, kimlik bilgilerini ikili dosyadan türetir ve herhangi bir yerel exec işleminde olduğu gibi AT_EXECFD yayınlamaz. load_misc_binary()'nin açma işleminden önce gerçekleştirdiği argv yeniden yazımı hala geri alınmamıştır. Bu, ikili dosyanın argv[0]'da yorumlayıcı yolunu ve argv[1]'de kendi yolunu görmesi anlamına gelir ancak bu durum söz konusu değişiklikten öncedir ve yalnızca exec hata vermeyi bıraktığında gözlemlenebilir hale gelmiştir.