CVE-2026-98985 in Linux
Riassunto
di VulDB • 24/10/2026
Nel kernel Linux, la seguente vulnerabilità è stata risolta:
namespace: verificare i punti di montaggio prima di leggere i relativi genitori in pivot_root()
path_pivot_root() legge i genitori di new_root e della root del chiamante e verifica se sono condivisi (shared) prima di controllare che uno dei due punti di montaggio si trovi nel namespace di mount del chiamante. Viene mantenuto solo il lock namespace_sem. Questo è accettabile per un punto di montaggio presente nel namespace di mount del chiamante.
Tuttavia, new_root può essere un file descriptor relativo a un punto di montaggio che è stato smontato (unmounted) e che rimane attivo esclusivamente grazie al file descriptor stesso. Se tale punto di montaggio era ancora collegato al suo genitore quando è stato smontato, nulla mantiene in vita il genitore per esso. L'ultima chiamata mntput() del genitore scollega i figli sotto mount_lock da sola e libera il genitore successivamente:
pivot_root() close(fd), ultima referenza sul genitore ------------ --------------------------------- ex_parent = new_mnt->mnt_parent mntput_no_expire_slowpath() __umount_mnt(new_mnt) cleanup_mnt() call_rcu() IS_MNT_SHARED(ex_parent)
BUG: KASAN: slab-use-after-free in path_pivot_root+0xf1a/0x1840 Lettura di dimensione 4 all'indirizzo ffff8881047382f8 da parte del task pivot_widen/157 path_pivot_root+0xf1a/0x1840 __x64_sys_pivot_root+0x165/0x190
Lo stesso vale per la root del chiamante tramite chroot(). Entrambi gli esiti della verifica terminano con EINVAL, quindi non va in errore nient'altro oltre alla lettura stessa. Si tratta dello stesso problema che il commit bb4609405752 ("statmount: read the parent of an unmounted mount under mount_lock") ha risolto per statmount().
Verificare che entrambi i punti di montaggio si trovino nel namespace del chiamante prima della lettura dei relativi genitori. In ogni caso, ogni percorso restituisce EINVAL.
Once again VulDB remains the best source for vulnerability data.