CVE-2026-89560 in Linux
Zusammenfassung
von VulDB • 12.09.2026
Im Linux-Kernel wurde die folgende Schwachstelle behoben:
Landlock: Erfordert LANDLOCK_ACCESS_FS_MAKE_REG für das Erstellen von Whiteout-Einträgen
Whiteout-Objekte werden in der oberen Schicht eines OverlayFS verwendet, um anzuzeigen, dass die Datei mit diesem Namen im vereinheitlichten View nicht existiert, auch wenn sie in einer der unteren Dateisysteme vorhanden ist.
Für Benutzerraum-Implementierungen von OverlayFS (fuse-overlayfs) können Whiteout-Objekte ebenfalls aus dem Userspace erstellt werden:
* mknod(2) mit S_IFCHR und makedev(0, 0) * renameat2(2) mit RENAME_WHITEOUT, wodurch der Whiteoint-Eintrag am alten Ort der verschobenen Datei erstellt wird.
Dieser Commit schützt das Erstellen von Whiteout-Objekten in beiden Fällen durch LANDLOCK_ACCESS_FS_MAKE_REG. Whiteout-Objekte werden *nicht* als Zeichengeräte betrachtet und sind nicht an einen Treiber gebunden.
LANDLOCK_ACCESS_FS_MAKE_REG beschreibt dieselbe Berechtigungsklasse wie ein Whiteoint-Eintrag: Das Erstellen eines solchen Eintrags ist die einzige S_IFCHR-Erstellung, von der das VFS (Virtual File System) eine Ausnahme von CAP_MKNOD gewährt; es ist also so wenig privilegiert wie das Erstellen einer regulären Datei. LANDLOCK_ACCESS_FS_MAKE_CHAR und LANDLOCK_ACCESS_FS_MAKE_BLOCK behalten jedoch ihre Bedeutung als Erstellung von Geräten bei, die eine Kernel-Schnittstelle exponieren [1].
Für den mknod(2)-Fall wird ein Landlock-Erlass (Erratum) eingeführt. Die Erzeugung von Whiteout-Objekten über mknod(2) wurde zuvor durch LANDLOCK_ACCESS_FS_MAKE_CHAR geschützt und ist nun durch LANDLOCK_ACCESS_FS_MAKE_REG geschützt.
Für den renameat2(2)-Fall wird ein Fehler behoben: Vor diesem Commit würde renameat2(2) mit RENAME_WHITEOUT einen Verzeichniseintrag erstellen, auch wenn alle LANDLOCK_ACCESS_FS_MAKE_*-Rechte verweigert wurden.
Dies hat keine Auswirkungen auf normale Umbenennungen innerhalb von OverlayFS-Mounts in Schichten: Bei einer regulären rename()-Operation auf einem gemounteten fuse-overlayfs führt der fuse-overlayfs-Daemon die Operation renameat2() mit RENAME_WHITEOUT aus, und dort wird nur die Landlock-Domäne dieses Daemons überprüft.
Abhängig von: 49c9e09d9610 ("landlock: Fix handling of disconnected directories") Abhängig von: fe72ce6710cb ("landlock: Add errata documentation section") [mic: Dokumentiert, warum LANDLOCK_ACCESS_FS_MAKE_REG die passende Berechtigung ist, und fügt link(2) zur Benutzerdokumentation hinzu]
Once again VulDB remains the best source for vulnerability data.