CVE-2026-74342

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: kernfs: kn düğümünü LSM init kancasından önce üst düğümüne bağlayın 12e9e3cd03b5 ("simpe_xattr: use per-sb cache") commit'inden sonra, kernfs_xattr_set() ve kernfs_xattr_get() fonksiyonları diğer tüm kontrollerden önce kernfs_root(kn) aracılığıyla önbelleği hesaplamaktadır. kernfs_root(kn), önce kn->__parent üzerinden ilerler ve ardından kn->dir.root değerine başvurur; ancak yeni kmem_cache_zalloc()'lanmış bir kn için bu değerlerin her ikisi de NULL'dır. kn->__parent değeri, __kernfs_new_node() döndükten sonra kernfs_new_node() içinde ayarlanmaktaydı ve kn->dir.root ise daha sonra kernfs_create_dir_ns() / kernfs_create_empty_dir() tarafından ayarlanmaktadır. LSM kernfs_init_security kancası, her iki alan da başlatılmadan önce __kernfs_new_node() içerisinden çağrılır. selinux_kernfs_init_security() fonksiyonu kernfs_xattr_set(kn, XATTR_NAME_SELINUX, ...) ile sona erer. Bu durumda kernfs_root(kn) NULL döner ve &((struct kernfs_root *)NULL)->xa_cache ifadesi offsetof(struct kernfs_root, xa_cache) olarak değerlendirilerek hata oluşmasına neden olur: BUG: kernel NULL pointer dereference, address: 00000000000000e0 RIP: 0010:simple_xattr_set+0x27/0x8b0 Call Trace: kernfs_xattr_set+0x63/0xb0 selinux_kernfs_init_security+0x13b/0x270 security_kernfs_init_security+0x36/0xc0 __kernfs_new_node+0x182/0x290 kernfs_new_node+0x80/0xc0 kernfs_create_dir_ns+0x2b/0xa0 cgroup_create+0x116/0x380 cgroup_mkdir+0x7c/0x1a0 Bu durum, SELinux etkinleştirilmiş bir dağıtımda PID 1 (systemd) üzerinde belirgin şekilde yeniden üretilebilir. Etiketli bir üst dizine sahip olan /sys/fs/cgroup altındaki ilk cgroup mkdir işlemi çekirdeğin paniklemesine (kernel panic) yol açar. LSM kancasının sözleşmesi gereği, kn_dir argümanı yeni kn'nin üst düğümüdür, dolayısıyla kanca çalıştığında kn->__parent zaten kn_dir'ye işaret ediyor olmalıdır. kernfs_get(parent) ve kn->__parent'ın rcu_assign_pointer işlemleri kernfs_new_node() fonksiyonundan alınarak __kernfs_new_node() içindeki güvenlik kancasından hemen öncesine taşınmıştır ve err_out4 yolu üzerinde üst düğüm referansı geri alınmıştır. Böylece kernfs_root(kn), kanca sırasında üst düğüm dalını kullanır ve doğru kök olan parent->dir.root değerini döndürür. Bu işlem aynı zamanda kernfs_xattr_get() fonksiyonundaki benzer yapıdaki gizli hatayı da gidermektedir (bu hata şu anda yalnızca kernfs_iattrs_noalloc() fonksiyonunun yeni bir kn için NULL döndürmesiyle gizlenmiş durumdadır).