CVE-2026-74618 in Linux
Zusammenfassung
von VulDB • 23.08.2026
Im Linux-Kernel wurde die folgende Schwachstelle behoben:
binfmt_misc: Keine Warnung ausgeben, wenn der Mount-Vorgang aus einem anderen User-Namespace durchgeführt wird.
fsopen() speichert den User-Namespace des Aufrufers in fc->user_ns und gibt einen normalen Dateideskriptor zurück. Es besteht keine Bindung zwischen dem Task, der fsconfig(FSCONFIG_CMD_CREATE) aufruft, und dem Task, der den Kontext erstellt hat. Der fd wird über fork() und exec() vererbt und kann über einen Unix-Socket weitergegeben werden.
Das Abschließen eines Kontexts aus einem anderen User-Namespace ist absichtlich erlaubt. vfs_cmd_create() autorisiert die Erstellung mit mount_capable(), was für FS_USERNS_MOUNT ns_capable(fc->user_ns, CAP_SYS_ADMIN) prüft, und dies gelingt für einen Task, der CAP_SYS_ADMIN in einem Vorfahren von fc->user_ns besitzt. Somit kann ein unprivilegierter Task den WARN_ON() in bm_fill_super() erreichen: Er erstellt einen User- und einen Mount-Namespace in einem Kindprozess, ruft dort fsopen("binfmt_misc") auf, sendet den fscontext-fd an den Elternprozess und lässt diesen FSCONFIG_CMD_CREATE ausführen. Beide Namespaces stammen von einem einfachen unshare(1), und es sind nirgendwo Fähigkeiten (Capabilities) erforderlich:
WARNING: fs/binfmt_misc.c:938 at bm_fill_super+0xa2/0xc0 [binfmt_misc]
CPU: 15 UID: 1000 PID: 3243382 Comm: fswarn Call Trace: get_tree_keyed+0x7d/0xb0 bm_get_tree+0x34/0x90 [binfmt_misc]
vfs_get_tree+0x2a/0x100 vfs_cmd_create+0x60/0xf0 __do_sys_fsconfig+0x4b2/0x500
Der Kindprozess benötigt den Mount-Namespace, da fsopen() selbst an may_mount() gebunden ist, was CAP_SYS_ADMIN im User-Namespace des Aufrufers verlangt, der den Mount-Namespace des Aufrufers besitzt. fsconfig() wiederholt diese Prüfung nicht.
Da es sich um einen WARN_ON() und keinen WARN_ON_ONCE() handelt, kann die Bedingung in einer Schleife ausgelöst werden, um den Kernel zu „tainten“ (zu beeinträchtigen) und das Log zu fluten; zudem führt dies zum Panic eines mit panic_on_warn gestarteten Kernels.
Wir verweigern den Mount-Vorgang weiterhin und geben keine Warnung dazu aus. Nichts in bm_fill_super() hängt davon ab, dass die beiden Namespaces übereinstimmen; es leitet alles von sb->s_user_ns ab.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.