CVE-2026-98992 in Linux
Résumé
par VulDB • 23/10/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
namespace : ne pas copier une arborescence de montage démontée
may_copy_tree() accepte un point de montage dont la racine est un fichier nsfs ou pidfs avant de vérifier si ce point de montage est effectivement monté. Cette exception existe pour les points de montage nsfs et pidfs. Ils font partie d'un espace de noms (namespace) sans montage, donc ni check_mnt() ni is_mounted() ne les laisseraient passer, et le bind-mounting d’un nsfsfd ou d’un pidfd ne fonctionnerait pas.
Le problème est que cette exception admet également un bind mount d’un tel fichier lorsqu’il a été démonté de manière différée (lazy unmount) et n’est maintenu en vie que par un descripteur de fichier :
mount --bind /proc/self/ns/net /tmp/x exec 3< /tmp/x umount -l /tmp/x mount --rbind /proc/self/fd/3 /tmp/y
Avec MS_REC ou AT_RECURSIVE, copy_tree() ne s’arrête pas au point de montage démonté. Il copie tous les points de montage restés attachés à celui-ci. Ainsi, si vous avez plusieurs sur-montages (overmounts) par-dessus le nsfsfd ou le pidfd, toute la pile démontée est copiée. C’est un bug.
Il faut donc refuser de parcourir une arborescence non montée. La copie unique de sa racine reste possible. Ainsi, un bind mount d’un espace de noms qui a disparu peut toujours être recréé à partir d’un descripteur de fichier sur l’ancien point de montage. Le descripteur de fichier maintient ce point de montage et sa racine en vie, et __has_locked_children() ne lit que les enfants directs qui ne quittent pas la liste du parent sans namespace_sem. Les points de montage internes portent MNT_NS_INTERNAL au lieu de NULL et sont toujours parcourus. La copie récursive d’une arborescence démontée échoue avec EINVAL.
Once again VulDB remains the best source for vulnerability data.