CVE-2026-98976 in Linux
Zusammenfassung
von VulDB • 23.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
namespace: Sperre für einen Mountpunkt beibehalten, unter den ein propagierter Kopie verschoben wird
attach_recursive_mnt() überträgt MNT_LOCKED von dem obersten Mountpoint auf den Mountpoint, der mit MOVE_MOUNT_BENEHIND darunter verschoben wird. Dies ermöglicht es dem Besitzer eines User-Namespace (Benutzernamensraums), seinen gesperrten /proc oder sein Root-Verzeichnis zu ersetzen. Der darunterliegende Mountpoint übernimmt die Aufgabe des Abdeckens des zugrunde liegenden Mountpoints, wodurch der oberste Mountpoint abgemeldet werden kann.
Betrachten Sie zwei Mount-Namespace:
(H) Der Host H hat einen shared-Mount P mit einem Geheimnis in P/d (Z) Z ist ein User-Namespace, der aus M erstellt wurde. Seine Kopie von P erhält Propagation vom Hosts P und seine Kopie des Abdeckens von M auf P/d ist gesperrt; der Besitzer von Z darf nicht auf P/d zugreifen können.
Nun (H) mountet X auf P/d. Dies wird in (Z) propagiert. Die Kopie von X landet unterhalb der gesperrten Abdeckung von (Z). Die Sperr-Eigenschaft wird von der Abdeckung von (Z) auf die darunter propagierte Kopie von X übertragen. Die Abdeckung ist nun entsperrt.
Nun (H) unmountet X erneut. Die Kopie von X in (Z) wird abgemeldet und der abdeckende Mountpoint bleibt ohne Sperre oberhalb von P/d zurück. (Z) kann ihn nun abmelden:
Z: umount2(P/d) = EINVAL /* die Abdeckung ist gesperrt */ H: mount X on P/d, unmount X /* beide werden in Z propagiert */ Z: umount2(P/d) = 0 /* die Abdeckung ist nun entsperrt */ Z: read P/d/secret = "covered-by-root" /* Geheimnis offengelegt */
Übertragen Sie daher nur die Sperr-Eigenschaft auf den darunterliegenden Mountpoint für Mountpoints, die der Aufrufer platziert hat. Eine propagierte Kopie, die unterhalb eines gesperrten Mountpoints landet, ist ebenfalls gesperrt, sodass der Mountpoint am Ende des Stacks eine Sperre trägt, wie es jede Prüfung erwartet. Der darauf befindliche Mountpoint bleibt gesperrt, um sicherzustellen, dass er auch dann weiterhin abdeckend wirkt, wenn der propagierte Mountpoint erneut abgemeldet wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.