CVE-2026-89540

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: sunrpc: proc girişi yayınlanmadan önce gssp_lock başlatılıyor create_use_gss_proxy_proc_entry(), init_gssp_clnt() fonksiyonu sn->gssp_lock üzerinde mutex_init() işlemini gerçekleştirmeden önce proc_create_data() aracılığıyla /proc/net/rpc/use-gss-proxy girişini yayınlar. dentry, proc_subdir_lock altında bağlandığında kullanıcı alanından anında erişilebilir hale gelir; bu nedenle, söz konusu zaman aralığına denk gelen bir yazma işlemi, set_gssp_clnt() fonksiyonunu sıfırla başlatılmış bir struct mutex üzerinde mutex_lock() çağırmaya zorlar. create_use_gss_proxy_proc_entry(net) proc_create_data("use-gss-proxy", ...) /* dentry aktif */ init_gssp_clnt(sn) mutex_init(&sn->gssp_lock) /* çok geç */ write_gssp() set_gssp_clnt(net) mutex_lock(&sn->gssp_lock) /* başlatılmamış */ gssp_rpc_create(...) sn->gssp_clnt = clnt mutex_unlock(&sn->gssp_lock) Bu zaman aralığı yalnızca proc_create_data() dönüşü ile init_gssp_clnt() arasındaki iki ifadeyi kapsar; dolayısıyla bir yazıcıya ancak kayıt yapan iş parçacığı orada kesintiye uğradığında ve başka bir görev halihazırda yeni yayınlanan dosyayı açtığında ulaşılabilir. register_pernet_subsys(), pernet_ops_rwsem altında kesilebilir (preemptible) bağlamda çalışır, bu nedenle kesinti mümkündür ve pencere, görevleri zaten çalışan her canlı net namespace için proc girişinin oluşturulduğu auth_rpcgss modül yüklemesinde genişler. Yarışı kazanan bir yazıcı, içi sıfırla doldurulmuş bir struct mutex kilidini kilitler. CONFIG_DEBUG_MUTEXES etkinleştirildiğinde, eksik sihirli değer (magic value) bir "lock used without init" hatasına yol açar; üretim çekirdeğinde ise hızlı yol (fast path), kilidi CMPXCHG(owner, 0, current) üzerinden edinir. İkinci durumda, init_gssp_clnt() sahibi yeniden sıfırlamadan önce gelen ikinci bir yazıcı, set_gssp_clnt() fonksiyonuna eşzamanlı olarak girebilir, ilk yazıcının clnt nesnesi hala kullanımdayken onu kapatabilir ve kaybedenin clnt nesnesini sızdırabilir. Hata, sn->gssp_lock ifadesi sunrpc_init_net() içinde başlatılarak ömrünün içinde bulunduğu sunrpc_net ile eşleşmesi sağlanarak düzeltilmiştir. sn->gssp_clnt, net_generic depolamasını destekleyen kzalloc nedeniyle zaten NULL'dur, bu nedenle tembel yardımcıya (lazy helper) artık ihtiyaç yoktur; init_gssp_clnt(), prototipi ve create_use_gss_proxy_proc_entry() içerisindeki çağrısı kaldırılmıştır. sunrpc.ko, auth_rpcgss.ko'nun derleme zamanı bağımlılığıdır, bu nedenle herhangi bir auth_gss pernet başlatma işlemi proc girişini yayınlamadan önce sunrpc_init_net() her netns üzerinde her zaman çalışmıştır.