CVE-2026-74483

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: binfmt_misc: bağlama işlemi başarısız olduğunda kullanıcı ad alanının (user namespace) sızdırılmasını önleyin bm_get_tree(), kullanıcı ad alanına bir referans alır ve bunu sget anahtarı olarak get_tree_keyed()'e iletir. sget_fc() bu referansı sb->s_fs_info içine taşır ve fc->s_fs_info değerini temizler; böylece bu noktadan itibaren süperblok buna sahip olur ve bm_free() artık bunu görmez. Süperblok, bu referansı ->put_super() içinde serbest bırakır. Ancak generic_shutdown_super(), ->put_super()'ı yalnızca if (sb->s_root) dalı içerisinden çağırır, bu nedenle bm_fill_super() başarısız olduğunda hiçbir şey onu serbest bırakmaz: - kzalloc_obj() hatası s_root değerini NULL bırakır ve tüm dal atlanır. - Dosya döngüsündeki bir simple_fill_super() hatası s_root değerini ayarlı bırakır ancak s_op hala ->put_super() fonksiyonuna sahip olmayan simple_super_operations'a işaret eder. bm_fill_super(), s_ops kurulumunu yalnızca simple_fill_super() başarıyla döndükten sonra gerçekleştirir ve daha erken kurmak da yardımcı olmaz çünkü simple_fill_super() s_op değerinin üzerine yazar. Her iki durumda da vfs_get_super(), deactivate_locked_super()'ı çağırır ve referans kalıcı olarak kaybolur. binfmt_misc bağlamaları bir kullanıcı ad alanında mevcuttur ve hem inode hem de dentry önbelleği SLAB_ACCOUNT'tur; bu nedenle sıkı bir bellek cgroup altındaki ayrıcalıksız bir çağırıcı, isteğe bağlı olarak simple_fill_super()'ı başarısız kılabilir ve deneme başına bir kullanıcı ad alanı sızdırabilir. Referansı bunun yerine koşulsuz olarak çalışan ->kill_sb() içinde serbest bırakın; tıpkı nfsd ve rpc_pipefs'in anahtarlanmış s_fs_info değerlerini serbest bıraktığı yöntemle. Bu aynı zamanda, süperblok hala @fs_supers üzerindeyken ->put_super()'ın s_fs_info değerini temizlemesini de engeller. generic_shutdown_super(), kill_sb() çalışana kadar sget_fc()'nin onu bulmaya devam etmesi için onu orada kasıtlı olarak bırakır, ancak NULL olan bir s_fs_info değeri test_keyed_super()'ın onu kaçırmasına neden olur; böylece aynı kullanıcı ad alanı için eşzamanlı bir bağlama işlemi grab_super() beklemesini atlar ve hala yıkılmakta olan bir ad alanı için ikinci bir süperblok oluşturur.