CVE-2026-98982

W jądrze Linuksa usunięto następującą lukę:

przestrzeń nazw: nie pozwól, aby pseudodenty stała się korzeniem wierzchowca

d_alloc_pseudo() rozdaje zęby do rur, gniazd i innych plików
które nigdy nie są niczyim dzieckiem ani rodzicem. Niosą DCACHE_NORCU i
dentry_free() uwalnia je od razu, ponieważ nie jest to możliwe w przypadku spaceru ścieżką bez zamka
kiedykolwiek do nich dotrzeć. To obowiązuje tak długo, jak długo taki ząb nie jest korzeniem
wierzchowiec. Ale wiąże się to z montowaniem /proc/self/fd/<fd> takiego pliku
dokładnie to.

Większość osób wywołujących alloc_file_pseudo() umieszcza swoje pliki w pamięci wewnętrznej jądra
mounts, a may_copy_tree() je odrzuca. bpf_token_create() nie. To
umieszcza plik tokena na wierzchołku bpffs, który podał mu wywołujący, i tyle
mount znajduje się w przestrzeni nazw mount wywołującego, więc klon przechodzi przez:

mount --bind /proc/self/fd/<token> <plik>
open_tree(tokfd, "", AT_EMPTY_PATH | OPEN_TREE_CLONE) + move_mount()

__follow_mount_rcu() następnie ładuje ->mnt_root tego wierzchowca, odczytuje d_seq
i d_flags dentysty i dopiero wtedy sprawdza mount_lock. Stomatologia
może już wtedy zniknąć. Końcowa funkcja mntput() niezamontowanego elementu nadrzędnego zostaje odczepiona
dziecko, które pozostało do niego przywiązane pod samym mount_lock. Kiedy
posiadacz dziecka wykonuje ostatnie umieszczenie zaraz po tym, jak root to dput()
i natychmiast uwolniony, podczas gdy wędrowiec, który znalazł wierzchowca, znieruchomiał
patrzy na to.

Odmawiaj klonowania wierzchowca z dentry DCACHE_NORCU jako korzeniem. Nic
tak czy inaczej można to zrobić za pomocą wiązania tokena bpf.