CVE-2026-98984

W jądrze Linuksa usunięto następującą lukę:

dcache: nie umieszczaj punktu montowania na usuwanym dentry

rmdir(), unlink() i rename() wywołują metodę Dont_mount() na ofierze, a następnie
detach_mounts() z zablokowanym i-węzłem ofiary. do_lock_mount() trwa
blokuje i-węzeł punktu montowania i sprawdza funkcję cant_mount(), aby zamontować
nie może się pojawić po odłączeniu().

Ale funkcja connect_recursive_mnt() tworzy drugi punkt montowania dla katalogu głównego pliku
mocowanie źródłowe, aby uchwyty już znajdujące się w miejscu docelowym mogły to zrobić
być na nim położony. Żaden i-węzeł nie jest zablokowany dla tego i d_set_mounted()
odrzuca tylko zęby, które nie są połączone. Pomiędzy detach_mounts() i
d_delete() ofiara jest nadal hashowana:

rmrace: b przeszedł opcję Dont_mount() i detach_mounts(), śpiąc
T2: move_mount(S, /tmp/plcant/x, BENEATH) = 0 errno 0 ()
T1: rmdir(/tmp/plcant/d/b) = 0 błąd 0
109 107 0:61 /d/b//usunięto /tmp/plcant/x rw,relatime - tmpfs tmpfs rw
108 109 0:63 / /tmp/plcant/x rw,relatime - tmpfs T rw

Montaż powiązania usuwanego katalogu jest przenoszony pod plik
istniejącego mount, podczas gdy rmdir() znajduje się pomiędzy dwoma wywołaniami. The
mount kończy się w usuniętym katalogu i nic go nigdy nie odłączy.

Sprawdź także cant_mount() w d_set_mounted(). Dont_mount() podnosi
flag pod d_lock przed uruchomieniem funkcji detach_mounts(), więc albo punkt montowania
jest ustawiane jako pierwsze, a funkcja detach_mounts() znajduje uchwyt lub flagę, która jest widoczna i
uchwyt zostaje odrzucony.