CVE-2026-99226

W jądrze Linuksa usunięto następującą lukę:

klucze: Unikaj wyłuskiwania konta właściciela podczas wyszukiwania nazwanego zestawu kluczy

Nazwane wyszukiwanie pęku kluczy musi przechowywać pamięć zawierającą UID właściciela
żyje poprzez kontrolę mapowania przestrzeni nazw. find_keyring_by_name()
czyta keyring->user->uid w obszarze keyring_name_lock, ale ta blokada chroni
wpis i przydział nazwy pęku kluczy, a nie jego oddzielny użytkownik_klucza.

Nazwane połączenie sesji z kluczem może nakładać się na uprzywilejowany KEYCTL_CHOWN
inny procesor. Jeśli brelok zawiera ostatnie odniesienie do swojej starej dynamiki
key_user i przeniesienie własności powiedzie się, następująca kolejność jest następująca
możliwe:

Nazwany dołączeniem do Chowna
find_keyring_by_name() keyctl_chown_key()
read_lock(nazwa_breloka_blokada) down_write(key->sem)
załaduj stary brelok->użytkownik
zamień klucz->użytkownik i klucz->uid
up_write(klawisz->sem)
klucz_put(klucz)
key_user_put(stary użytkownik): bezpłatny
przeczytaj starego użytkownika->uid
read_unlock(nazwa_breloka_blokada)

Chown nie bierze ani keyring_name_lock, ani key_session_mutex, więc może
zwolnij stare konto pomiędzy ładowaniem wskaźnika a odczytem UID. The
lookup następnie odczytuje zwolnioną pamięć, mimo że sam brelok jest żywy.

Użyj keyring->uid do sprawdzenia mapowania. key_alloc() inicjuje to
wbudowany identyfikator UID właściciela i funkcja keyctl_chown_key() aktualizują go w przypadku chown.
Istniejąca blokada nazw zachowuje przydzielony zbiór kluczy
czeku, więc wyszukiwanie nie zależy już od czasu istnienia konta. To
pasuje również do identyfikatora UID właściciela używanego podczas sprawdzania uprawnień.

Raport KASAN jak poniżej:

BŁĄD: KASAN: użycie płyty po zwolnieniu w find_keyring_by_name+0x577/0x5d0
Odczytaj rozmiar 4 pod adresem ffff8881128ae2ec za pomocą zadania keycase/500