CVE-2026-98260

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: exec: de_thread() işleminden hemen sonra POSIX zamanlayıcılarını temizle İş parçacığı başına düşen bir CPU zamanlayıcısı, bağlı olduğu iş parçacığının PID'sine bir referans tutar ve etkin olduğunda düğümü o iş parçacığının posix_cputimers listesine eklenir. Görev, bu PID üzerinden aranır. Lider olmayan bir iş parçacığı exec() yaptığında, de_thread() bu PID'ye hangi görevin sahip olduğunu değiştirir. Ardından pid_task(timer->it.cpu.pid, PIDTYPE_PID) NULL döner ancak düğüm hala hayatta olan tsk üzerinde kuyruklanmış durumdadır. timer_lock_sighand(), başarısız bir aramayı düğümün zaten kuyruktan çıkarıldığı anlamına gelecek şekilde yorumlar, dolayısıyla geri alacağı bir şey kalmaz. begin_new_exec(), exec_task_namespaces() işleminin hemen ardından posix_cpu_timers_exit(me) fonksiyonunu çağırır ve bu da kalan düğümü kaldırarak durumun normalde görünmez kalmasını sağlar. Ancak bprm->point_of_no_return, de_thread()'den önce ayarlanır; bu nedenle unshare_files(), set_mm_exe_file(), exec_mmap() veya exec_task_namespaces() hata verirse, görev oraya ulaşmadan ölür. exit_itimers() daha sonra düğümü hala kuyrukta iken k_itimer'ı serbest bırakır ve tsk'nın daha sonra toplanması, serbest bırakılan bu düğümü rbtree'den siler. Özetle: lider olmayan iş parçacığı B ebeveyn timer_create(CLOCK_THREAD_CPUTIME_ID) timer_settime() arm_timer() // düğüm B üzerine kuyruklanır execve() de_thread(B) exchange_tids(B, leader) // B'nin PID'si artık liderin olur release_task(leader) __exit_signal(leader) posix_cpu_timers_exit(leader) // liderin kuyruğunu temizler, B'ninkini değil __unhash_process(leader) // bu PID'nin artık bir görevi yoktur exec_mmap() mmap_read_lock_killable(old_mm) kill(B, SIGKILL) // -EINTR get_signal() do_exit() exit_itimers() posix_timer_delete() posix_cpu_timer_del() posix_timer_unhash_and_free() // hala kuyruktayken serbest bırakıldı wait4() release_task(B) posix_cpu_timers_exit(B) cleanup_timerqueue() timerqueue_del() // serbest bırakıldıktan sonra kullanım (use-after-free) POSIX zamanlayıcı temizliğini, sonraki herhangi bir hata durumu görevi do_exit() sürecine sokmadan önce, doğrudan de_thread() işleminden sonraya taşıyın. [ tglx: Temizleme işlemini de_thread()'den hemen sonraya taşıyın ]