CVE-2026-98993

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: namespace: clone_mnt() fonksiyonunda MNT_UMOUNT bayrağının devralınmasını engelleyin MNT_UMOUNT, umount_tree() veya umount_one() tarafından kendi ad alanından çıkarılmış bir bağlama noktası üzerinde etkinleştirilir ve asla temizlenmez. __detach_mounts(), bu bayrağı taşıyan bir bağlamayı ayırmak yerine bağlantısını keser. disconnect_mount(), bağlanmamış bir alt öğenin yalnızca üst öğesi bu bayrağı taşıyorsa bağlı kalmasına izin verir. propagate_umount(), başka nelerin bağlanmayacağına karar verirken, kilitli bağlama zincirinin nerede bittiğine ve bir overmount için yeniden ebeveynleme işleminin nereye yapılacağına karar verirken bunu bir bağlamanın ayrılacağının işareti olarak kabul eder. clone_mnt(), kaynağın bayraklarını kopyalar ve yalnızca MNT_UMOUNT'u içermeyen MNT_INTERNAL_FLAGS kısmını maskeler. Tembelce (lazy) ayrılmış ancak bir dosya tanımlayıcısı ile hayatta tutulan bir bağlama noktası, kökü bir nsfs veya pidfs dosyası olduğunda hala kopyalanabilir; çünkü may_copy_tree(), kaynağın gerçekten bağlı olup olmadığını kontrol etmeden önce bunları kabul eder: mount --bind /proc/self/ns/net /tmp/x exec 3< /tmp/x umount -l /tmp/x mount --bind /proc/self/fd/3 /tmp/y /tmp/y üzerindeki bağlama noktası, çağırıcının ad alanına MNT_UMOUNT zaten ayarlanmış şekilde eklenir ve bunun her kopyası bayrağı tekrar devralır. Bu durum bir dizi hataya yol açar: - Bağlama noktasını, aslında orada olmadığı bir bağlama ad alanından unlink edin. __detach_mounts() bunu daha önce ayrılmış bir bağlama noktası olarak algılar, onu üst öğesinden ayırır ve ad alanının onun üzerindeki referansını düşürür. Ad alanında bir referans eksik olarak ve kendi üst öğesi şeklinde kalır; böylece artık dosya tanımlayıcısı üzerinden ayrılamaz ve ad alanı onu bir daha asla bulamaz. Ad alanı yok olduğunda sızıntı oluşur ve may_change_propagation() ile anon_ns_root()'un bir sonraki yayılım değişikliğinde veya dosya tanımlayıcısı aracılığıyla mount_setattr() sırasında okuduğu serbest bırakılmış bir struct mnt_namespace yapısına işaret eder. - Onu paylaşımlı hale getirin ve bir eşini (peer) ayırın. trace_transfers() bayrağı eşten takip ederek içeri alır ve onu eş grubundan çıkarır. - Yayılmış bir umount işleminin ona ulaşmasına izin verin. gather_candidates() onu T_UMOUNT_CANDIDATE ile işaretler ancak asla aday listesine eklemez, bu nedenle işaret hiçbir zaman temizlenmez ve sonraki her yayılmış umount işlemi onu atlar. Eğer kilitli bir bağlamanın üst öğesiyse, handle_locked() onu sınır olarak kabul eder ve kalması gereken kilitli alt öğeyi onaylar; disconnect_mount() ise o alt öğeyi ona bağlı, bağlı bir üst öğe altında ayrılmış olarak bırakır ki disconnect_mount() tam olarak bunu önlemek için vardır. Ad alanı yok olduğunda umount_tree() alt öğeyi ikinci kez ziyaret eder. Ve __detach_mounts() onu kendi üst öğesi yaptıktan sonra reparent() ayrılmış üst öğeler zincirinin sonunu asla bulamaz. Bir klon, hiç ayrılmamış yeni bir bağlamadır. clone_mnt() fonksiyonunun bunu asla kopyalamaması için MNT_UMOUNT bayrağını MNT_INTERNAL_FLAGS'e ekleyin. Ayrıca umount_tree() halihazırda bu bayrağı atan bir bağlamaya ulaştığında uyarı verin.