CVE-2026-98985

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: namespace: pivot_root() fonksiyonunda üst dizinler okunmadan önce bağlamaların (mounts) kontrol edilmesi path_pivot_root(), new_root ve çağıranın kök dizininin üst dizinlerini okur ve herhangi bir bağlamanın çağıranın bağlama ad alanında (mount namespace) olup olmadığını kontrol etmeden önce bunların paylaşımlı olup olmadığını denetler. Sadece namespace_sem tutulmaktadır. Bu durum, çağıranın bağlama ad alanındaki bir bağlama için uygundur. Ancak new_root, bağlantısı kesilmiş olan ve yalnızca dosya tanımlayıcısının hayatta tuttuğu bir bağlamaya ait dosya tanımlayıcısı olabilir. Eğer bu bağlama, bağlantısı kesildiğinde üst dizinine bağlı kalmaya devam ederse, üst dizini onun için sabitleyen hiçbir şey olmaz. Üst dizinin son mntput() işlemi, alt dizinlerin bağlantısını tek başına mount_lock altında çözer ve ardından üst dizini serbest bırakır: pivot_root() close(fd), üst dizindeki son referans ------------ --------------------------------- ex_parent = new_mnt->mnt_parent mntput_no_expire_slowpath() __umount_mnt(new_mnt) cleanup_mnt() call_rcu() IS_MNT_SHARED(ex_parent) BUG: KASAN: path_pivot_root+0xf1a/0x1840 konumunda slab-use-after-free pivot_widen/157 görevi tarafından ffff8881047382f8 adresinde 4 boyutlu okuma path_pivot_root+0xf1a/0x1840 __x64_sys_pivot_root+0x165/0x190 Aynı durum chroot() aracılığıyla çağıranın kök dizini için de geçerlidir. Kontrolün her iki sonucu da EINVAL ile biter, dolayısıyla okumanın kendisi dışında hiçbir sorun oluşmaz. Bu, bb4609405752 ("statmount: read the parent of an unmounted mount under mount_lock") commit'inin statmount() için düzelttiği durumla aynıdır. Üst dizinler okunmadan önce her iki bağlamanın da çağıranın ad alanında olduğu kontrol edilir. Her iki durumda da tüm yollar EINVAL döndürür.