CVE-2026-98995

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: namespace: mnt_change_mountpoint() fonksiyonunda eski ebeveynin ->overmount değeri sıfırlanıyor __umount_mnt(), kendisini üzerine bindiren (overmount) bağlama noktasını ayırdığında ebeveynin ->overmount değerini sıfırlar; ancak mnt_change_mountpoint() bunu yapmaz. Bağlamayı yeni ebeveynine taşır ve eskisinin ona işaret etmesini sağlar. attach_recursive_mnt() ile altına taşınan bir bağlama noktası için bu durum sorun teşkil etmez. Eski üst bağlama noktası onun üzerine taşındığında, yeni bağlama noktası zaten eski ebeveynin ->overmount değerini sıfırlamış olur. Ancak bu durum reparent() için sorun yaratmaktadır. propagate_umount(), hayatta kalan bir overmount işlemini, ayrılmayacak olan ilk ataya taşır. Alındığı bağlama noktası ise hemen ardından ayrılır. Eğer bir dosya tanımlayıcısı (file descriptor), ayrılmış olan bu bağlama noktasını canlı tutarsa, ->overmount taşınmış olan bağlama noktasına işaret eder. Taşınmış bağlama noktası ayrılıp serbest bırakıldığında, bu durum sarkan bir göstergeye (dangling pointer) ve serbest bırakıldıktan sonra kullanım (UAF) hatasına yol açar. do_lock_mount(), mount_lock altında hedef yoldaki ->overmount takibini yapar. Böyle bir bağlama noktasında bulunan bir dosya tanımlayıcısı altındaki bir bağlama hedefiyken, topmost_overmount() serbest bırakılan bağlama noktasına girer ve do_lock_mount() orada bulduğu her şey üzerinde referanslar alır. Bu nedenle, mnt_change_mountpoint() içerisindeki eski ebeveynin ->overmount değeri, __umount_mnt() fonksiyonunun yaptığı şekilde sıfırlanmıştır. Böylece bir bağlama noktasının ->overmount değeri, her zaman ona bağlı olan bir bağlama noktasını temsil eder.