CVE-2026-99222

W jądrze Linuksa usunięto następującą lukę:

klucze: Chroń kontrolę metody odczytu przed usunięciem typu

keyctl_read_key() sprawdza klawisz->typ->czytaj bez trzymania klawisza->sem.
Odniesienie utrzymuje klucz przy życiu, ale nie przypina modułu zawierającego
jego typ. Dlatego pozostały klucz RxRPC można odczytać podczas AF_RXRPC
jest rozładowywany:

Zadanie KEYCTL_READ Rozładowanie modułu i klucz GC
---------------- ------------------------
szukany_klucz_użytkownika()
kontrole uprawnień/posiadania
załaduj klucz->wpisz
af_rxrpc_exit()
wyrejestruj_typ_klucza()
GC: down_write(key->sem)
GC: wpisz ponownie do key_type_dead
GC: up_write(key->sem)
unregister_key_type() zwraca
wolny_moduł()
przeczytaj element członkowski odczytu zapisanego typu

Ostateczny dostęp umożliwia odczytanie zwolnionej pamięci modułu. Wywołanie odczytu w
__keyctl_read_key() jest już chroniona przez klucz->sem, ale wcześniej
sprawdzenie metody znajduje się poza tą sekcją krytyczną.

Przenieś kontrolę metody do __keyctl_read_key(), po key_validate() i
w ramach istniejącego wstrzymania odczytu na klawiszu->sem. Następnie sprawdzenie i wywołanie
używaj tego samego chronionego typu dla zapytań o długość i przy każdej ponownej próbie odczytu.
GC nie może ponownie wpisać klucza, dopóki semafor nie zostanie zwolniony, i wpisz
wyrejestrowanie czeka na przepustkę GC, zanim moduł będzie mógł zostać zwolniony.

Zwróć -EOPNOTSUPP, gdy sprawdzanie poprawności zakończy się pomyślnie, a typ nie zostanie odczytany
metoda. Przed tym wynikiem można teraz przydzielić bufor tymczasowy;
alokacja i kopiowanie do przestrzeni użytkownika pozostają poza semaforem.