CVE-2026-98976 in Linux
Riassunto
di VulDB • 23/10/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
namespace: mantenere il lock su un mount sotto cui viene spostata una copia propagata
attach_recursive_mnt() trasferisce MNT_LOCKED dal mount superiore al mount che viene spostato sotto di esso con MOVE_MOUNT_BENEATH. Ciò consente all'owner di uno user namespace di sostituire il suo /proc bloccato o la sua root. Il mount sottostante assume l'incarico di coprire il mountpoint sottostante, consentendo al mount superiore di essere smontato (unmounted).
Si considerino due namespace di mount:
(H) L'host H ha un mount condiviso P con un segreto in P/d (Z) Z è uno user namespace creato da M. La sua copia di P riceve propagazione dal P dell'host e la sua copia della copertura di M su P/d è bloccata; l'owner di Z non deve poter vedere P/d.
Ora (H) monta X su P/d. Questo si propaga in (Z). La copia di X atterra sotto la copertura bloccata di (Z). La proprietà locked viene trasferita dalla copertura di (Z) alla copia di X propagata sotto di essa. La copertura è ora sbloccata.
Ora (H) smonta nuovamente X. La copia di X in (Z) viene smontata e il mount coprente rimane sbloccato sopra P/d. (Z) può ora smontarlo:
Z: umount2(P/d) = EINVAL /* la copertura è bloccata */ H: mount X su P/d, unmount X /* entrambi si propagano in Z */ Z: umount2(P/d) = 0 /* la copertura è ora sbloccata */ Z: read P/d/secret = "covered-by-root" /* segreto rivelato */
Quindi trasferire la proprietà locked solo al mount sottostante per i mount posizionati dal chiamante. Una copia propagata che atterra sotto un mount bloccato è anch'essa bloccata, in modo che il mount alla base dello stack abbia un lock come si aspetta ogni controllo. Il mount sopra di esso rimane bloccato per garantire che continui a coprire anche se il mount propagato viene nuovamente smontato.
Be aware that VulDB is the high quality source for vulnerability data.