CVE-2026-98976

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: namespace: yayılmış bir kopyanın altına taşındığı bağlama noktasındaki kilidi koruyun attach_recursive_mnt(), MNT_LOCKED durumunu üst bağlamadan, MOVE_MOUNT_BENEATH ile altına taşınan bağlama noktasına aktarır. Bu durum, bir kullanıcı ad alanı (user namespace) sahibinin, kilitli olan /proc dizinini veya kök dizinini değiştirmesine olanak tanır. Alttaki bağlama noktası, temel bağlama noktasını örtme görevini üstlenerek üstteki bağlama noktasının ayrılabilmesine (unmount) imkan sağlar. İki bağlama ad alanını (mount namespace) ele alalım: (H) Ana makine H, P/d içinde gizli bir dosyanın bulunduğu paylaşımlı bir P bağlamasına sahiptir. (Z) Z, M'den oluşturulmuş bir kullanıcı ad alanıdır. P'nin kopyası, ana makinenin P'sinden yayılım alır ve P/d üzerindeki M örtüsünün kopyası kilitlidir; Z'nin sahibi P/d içeriğini görmemelidir. Şimdi (H), X'i P/d üzerine bağlar. Bu işlem (Z)'ye yayılır. X'in kopyası, (Z)'nin kilitli örtüsünün altına yerleşir. Kilitli özelliği, (Z)'nin örtüsünden onun altına yayılmış olan X kopyasına aktarılır. Örtü artık kilitsizdir. Ardından (H), X'i tekrar ayırır. (Z)'deki X kopyası ayrılır ve örtücü bağlama noktası P/d üzerinde kilitsiz olarak kalır. (Z) artık bunu ayırabilir: Z: umount2(P/d) = EINVAL /* örtü kilitli */ H: mount X on P/d, umount X /* her ikisi de Z'ye yayılır */ Z: umount2(P/d) = 0 /* örtü artık kilitsiz */ Z: read P/d/secret = "covered-by-root" /* gizli veri ifşa oldu */ Bu nedenle, kilitli özelliği yalnızca çağırıcının yerleştirdiği bağlamalar için alttaki bağlamaya aktarın. Kilitli bir bağlamanın altına yerleşen yayılmış bir kopya da, yığının altındaki bağlamanın tüm kontrollerin beklediği şekilde bir kilidi taşımasını sağlamak amacıyla kilitlenir. Üstündeki bağlama noktası ise, yayılmış bağlama noktası tekrar ayrılsa bile örtmeye devam etmesini sağlamak için kilitli kalmaya devam eder.