CVE-2026-97938

W jądrze Linuksa usunięto następującą lukę:

restart: napraw wyścig cad_pid po darmowym użyciu

cad_pid to pojedynczy wskaźnik pid struktury obejmujący całe jądro. proc_do_cad_pid()
czyta go i przekazuje do pid_vnr() bez ochrony czasu życia
pid struktury, do którego się odwołujemy. Współbieżny zapis może zastąpić cad_pid i
upuść ostatnie odniesienie do starego identyfikatora struktury po tym, jak czytelnik to zrobi
załadował wskaźnik, ale zanim pid_vnr() zakończy jego wyłuskiwanie,
powodując bezpłatne użycie.

kill_cad_pid() ma tę samą rasę życia, gdy przekazuje cad_pid do
zabij_pid().

W momencie zgłoszenia tego problemu nieuprzywilejowany użytkownik mógł uzyskać dostęp do witryny
sysctl poprzez przestrzenie nazw użytkownika i PID, ponieważ zarejestrowano cad_pid
pid_table[]. Przenoszenie cad_pid z powrotem do globalnej tabeli sysctl ponownego uruchomienia
poprawiono tę niezgodność przestrzeni nazw i uprawnień, ale nie naprawiono problemu
podstawowy wyścig życia.

Napraw ten problem, traktując cad_pid jako wskaźnik chroniony przez RCU przy obu odczytach
witryn i odczekując okres karencji przed usunięciem starego odniesienia
po stronie zapisu.

call_rcu(&old_pid->rcu, ...) nie może zostać tutaj użyte, ponieważ free_pid()
także kolejkuje pid->rcu; dwukrotne umieszczenie w kolejce tego samego rcu_head może spowodować uszkodzenie pliku
Lista wywołań zwrotnych RCU.

Oryginalny stos awarii KASAN:
kernel/pid.c:545 pid_nr_ns() # odczytuje zwolniony pid->poziom
kernel/pid.c:556 pid_vnr() # wywołuje pid_nr_ns()
kernel/pid.c:775 proc_do_cad_pid() # wywołuje pid_vnr(cad_pid)