CVE-2026-98982

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: namespace: bir pseudo dentry'nin bir bağlama noktasının (mount) kökü olmasına izin vermeyin d_alloc_pseudo(), borular (pipes), soketler ve asla kimsenin çocuğu veya ebeveyni olmayan diğer dosyalar için dentry'ler sağlar. Bunlar DCACHE_NORCU taşır ve hiçbir kilitsiz yol yürütme işlemi onlara ulaşamayacağı için dentry_free() bunları hemen serbest bırakır. Bu durum, söz konusu dentry bir bağlama noktasının kökü olmadığı sürece geçerlidir. Ancak böyle bir dosyanın /proc/self/fd/<fd> dizininin bind mount edilmesi tam olarak bunu yapar. alloc_file_pseudo() fonksiyonunu çağıranların çoğu, dosyalarını çekirdek içi (kernel-internal) bağlama noktalarına yerleştirir ve may_copy_tree() bunları reddeder. bpf_token_create() ise reddetmez. Token dosyasını, çağırıcının kendisine ilettiği bpffs bağlama noktasına yerleştirir ve bu bağlama noktası çağırıcının mount namespace'inde olduğu için klonlama işlemi gerçekleşir: mount --bind /proc/self/fd/<token> <file> open_tree(tokfd, "", AT_EMPTY_PATH | OPEN_TREE_CLONE) + move_mount() Ardından __follow_mount_rcu(), o bağlama noktasının ->mnt_root değerini yükler, dentry'nin d_seq ve d_flags değerlerini okur ve ancak ondan sonra mount_lock kontrolünü yapar. O ana kadar dentry silinmiş olabilir. Bağlantısı kesilmiş bir ebeveynin son mntput() işlemi, yalnızca mount_lock altında ona bağlı kalmış bir çocuğu ayırır. Çocuğun tutucusu hemen ardından son put işlemini yaptığında, kök dput() edilir ve hemen serbest bırakılır; bu sırada bağlama noktasını hashlenmiş olarak bulan bir yürütücü hala ona bakmaktadır. Kökü DCACHE_NORCU olan bir dentry içeren bağlama noktasının klonlanmasını reddedin. Zaten bir bpf token'ının bind mount işlemiyle yapılabilecek mantıklı bir işlem yoktur.