CVE-2026-74482

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: mm/huge_memory: after-split folio'lar serbest bırakılmadan önce i_mmap_rwsem kilidini açın __folio_split(), bölünme işleminden sonra mapping referansını çözmeye devam eder: folio'lar hala dondurulmuş/kilitliyken shmem_uncharge(mapping->host) ve remap_page() fonksiyonları çağrılır ve en sonda, after-split folio'ların kilidi açılıp serbest bırakıldıktan sonra i_mmap_unlock_read(mapping) çalıştırılır. Bu süreç boyunca hiçbir şey bir inode referansını tutmaz. Bölünme işlemi, tahliyeyi engellemek için @folio'nun kilitli kalmasına ve sayfa önbelleğinde bulunmasına dayanır; zira EOF ötesindeki düşürme döngüsü, folio_next(folio) ile başladığından @folio'yu asla kaldırmaz. Ancak kilit açma döngüsü, i_mmap_unlock_read() çalışmadan önce @folio'nun kilidini açar. Eğer çağıran tarafın @lock_at değeri, kırpma sırasında i_size'ı aşan zehirli bir shmem THP kuyruğunu bölerken memory_failure()'ın geçtiği gibi EOF ötesindeki bir kuyruk ise, o da sayfa önbelleğinden silinmiş olur; böylece @folio'nun kilidi açıldığında, artık kilitli veya önbellekte olan hiçbir folio inode'u sabitlemez ve eşzamanlı bir final iput() işlemi, i_mmap_unlock_read() i_mmap_rwsem'e erişmeden önce onu tahliye edip RCU-free ile serbest bırakabilir: BUG: KASAN: slab-use-after-free in __up_read+0x634/0x790 i_mmap_unlock_read include/linux/fs.h:537 [inline] __folio_split+0x732/0x1640 mm/huge_memory.c:4100 try_to_split_thp_page+0xab/0x390 mm/memory-failure.c:1675 memory_failure+0x1394/0x26e0 mm/memory-failure.c:2470 Task 4601 tarafından serbest bırakıldı: shmem_free_in_core_inode+0x54/0xb0 mm/shmem.c:5177 evict+0x57f/0xac0 fs/inode.c:870 Tüm mapping referans çözümleme işlemleri @folio henüz inode'u sabitlerken gerçekleştirilmelidir: i_mmap_rwsem kilidini remap_page() işleminden hemen sonra, after-split folio'ların kilidini açan ve onları serbest bırakan döngüden önce bırakın ve çıkış yolunun kilidi tekrar açmaması için @mapping değerini temizleyin. shmem_uncharge() ve remap_page() zaten bu noktadan önce çalıştığından, bundan sonra kilit açma döngüsünün ilerisindeki hiçbir işlem inode veya mapping ile etkileşime girmez. Bu durum, sayfa önbelleği güncellenene kadar @folio'nun dondurulmuş olarak tutulmasıyla birlikte, bölünme işleminin dayandığı yeni bir kuraldır: after-split folio'ların kilidi açılmaya başlandığında hiçbir inode veya mapping referansı çözülmemelidir.