CVE-2026-98992 in Linux
Zusammenfassung
von VulDB • 23.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
Namespace: Kein nicht mehr eingehängtes Mount-Verzeichnisbaum kopieren
may_copy_tree() akzeptiert ein Mount, dessen Wurzel eine nsfs- oder pidfs-Datei ist, bevor es überprüft wird, ob dieses Mount tatsächlich eingehängt (gemountet) ist. Diese Ausnahme gilt für nsfs- und pidfs-Mounts. Sie gehören zu keinem Mount-Namespace, sodass weder check_mnt() noch is_mounted() sie durchlassen würden; ein Bind-Mount einer nsfsfd oder eines pidfds würde daher nicht funktionieren.
Das Problem besteht darin, dass diese Ausnahme auch einen Bind-Mount einer solchen Datei zulässt, wenn sie lazy unmounted (ausgehängt) wurde und nur noch durch eine Dateideskriptor am Leben erhalten wird:
mount --bind /proc/self/ns/net /tmp/x exec 3< /tmp/x umount -l /tmp/x mount --rbind /proc/self/fd/3 /tmp/y
Bei Verwendung von MS_REC oder AT_RECURSIVE stoppt copy_tree() nicht am ausgehängten Mount. Es kopiert stattdessen jeden Mount, der weiterhin daran angehängt ist. Wenn sich also mehrere Overmounts über dem nsfsfd oder dem pidfd befinden, wird der gesamte ausgehängte Stack kopiert. Dies ist ein Fehler (Bug).
Daher wird das Durchlaufen eines nicht mehr eingehängten Verzeichnisbaums verweigert. Das Kopieren nur seiner Wurzel bleibt weiterhin möglich. Somit kann ein Bind-Mount eines Namespace, der nicht mehr existiert, immer noch aus einem Dateideskriptor des alten Mounts neu erstellt werden. Der Dateideskriptor hält diesen Mount und seine Wurzel am Leben; __has_locked_children() liest lediglich die direkten Kinder, welche ohne namespace_sem die Liste des Elternteils nicht verlassen. Die internen Mounts tragen MNT_NS_INTERNAL anstelle von NULL und werden weiterhin durchlaufen. Das rekursive Kopieren eines ausgehängten Baums schlägt mit EINVAL fehl.
Once again VulDB remains the best source for vulnerability data.