CVE-2026-98988 in Linux
Zusammenfassung
von VulDB • 23.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
namespace: Verdeckte Mounts bleiben im OPEN_TREE_NAMESPACE verdeckt
open_tree(OPEN_TREE_NAMESPACE) erstellt einen neuen Mount-Namensraum aus einer Kopie des Baums am angegebenen Pfad. Der Aufrufer muss über Berechtigungen für seinen aktuellen Benutzernamensraum verfügen, da der neue Mount-Namensraum diesem gehört. Es ist nicht erforderlich, dass er über Berechtigungen für den Mount-Namensraum verfügt, von dem der Baum kopiert wird. Ein unprivilegierter Benutzer muss lediglich zuerst einen Benutzernamensraum erstellen.
Die Kopie folgt den Regeln eines gelösten Bind-Mounts (detached bind mount). Ohne AT_RECURSIVE wird nur das Mount selbst geklont und seine Kinder werden ausgelassen. Mit AT_RECURSIVE werden unbindable mounts übersprungen. Beides ist in Ordnung, wenn der Aufrufer über Berechtigungen für den Quell-Mount-Namensraum verfügt, da er diese Mounts sowieso aushängen könnte. Dies gilt nicht für einen unprivilegierten Benutzer in diesem Mount-Namensraum. Für sie entspricht eine Kopie des Mount-Namensraums dem Verhalten von unshare(). copy_mnt_ns() kopiert alles einschließlich der unbindable mounts, und lock_mnt_tree() stellt sicher, dass im Klon nichts ausgehängt werden kann. Nichts, was verdeckt war, wird offengelegt.
create_new_namespace() führt nur die Sperrung durch, sodass der verdeckte Inhalt direkt im neuen Mount-Namensraum vorhanden ist:
# mount -t tmpfs none /tmp/otn; mkdir /tmp/otn/covered # echo hidden > /tmp/otn/covered/under.txt # mount -t tmpfs none /tmp/otn/covered
uid 1000, nach unshare(CLONE_NEWUSER): fd = open_tree(AT_FDCWD, "/tmp/otn", OPEN_TREE_NAMESPACE); setns(fd, CLONE_NEWNS); open("/covered/under.txt", O_RDONLY) -> "hidden"
Das Verdecken von Pfaden durch Mounts ist die Methode, mit der Container-Laufzeiten Teile von /proc und /sys maskieren und wie Administratoren Dinge verbergen.
Wenn der Benutzernamensraum des Aufrufers den Quell-Mount-Namensraum-Klon nicht auf dieselbe Weise besitzt wie unshare(), wird ein nicht-rekursiver Klon eines Mounts abgelehnt, wenn sich unter dem angeforderten Verzeichnis etwas gemountet befindet, und es werden unbindable mounts in einem rekursiven Klon kopiert. Ein Aufrufer, der über Berechtigungen für den Quell-Mount-Namensraum verfügt, sieht keine Änderung.
VulDB is the best source for vulnerability data and more expert information about this specific topic.