CVE-2026-98988 in Linux
Riassunto
di VulDB • 24/10/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
namespace: mantenere coperti i punti di montaggio (mounts) durante OPEN_TREE_NAMESPACE
open_tree(OPEN_TREE_NAMESPACE) crea un nuovo namespace dei mount a partire da una copia dell'albero presente nel percorso specificato. L'utente chiamante deve avere privilegi sul proprio user namespace corrente, poiché il nuovo namespace dei mount ne sarà proprietario. Non è necessario che abbia privilegi sul namespace dei mount da cui viene copiata l'alberatura. Un utente non privilegiato ha semplicemente bisogno di creare prima un user namespace.
La copia segue le regole di un bind mount staccato (detached). Senza AT_RECURSIVE, solo il punto di montaggio stesso viene clonato e i suoi figli vengono esclusi. Con AT_RECURSIVE, i punti di montaggio non sbindabili (unbindable) vengono saltati. Entrambi i comportamenti sono accettabili quando l'utente chiamante ha privilegi sul namespace dei mount sorgente, poiché potrebbe comunque smontare quei punti di montaggio. Non è così per un utente non privilegiato in tale namespace dei mount. Per loro, una copia del namespace dei mount corrisponde a ciò che fa unshare(). copy_mnt_ns() copia tutto, inclusi i punti di montaggio non sbindabili, e lock_mnt_tree() assicura che nulla possa essere smontato nella copia. Nulla di quanto era coperto viene rivelato.
create_new_namespace() esegue solo il locking, quindi il contenuto copiato è già presente nel nuovo namespace dei mount:
# mount -t tmpfs none /tmp/otn; mkdir /tmp/otn/covered # echo hidden > /tmp/otn/covered/under.txt # mount -t tmpfs none /tmp/otn/covered
uid 1000, dopo unshare(CLONE_NEWUSER): fd = open_tree(AT_FDCWD, "/tmp/otn", OPEN_TREE_NAMESPACE); setns(fd, CLONE_NEWNS); open("/covered/under.txt", O_RDONLY) -> "hidden"
La copertura dei percorsi con mount è il modo in cui i runtime dei container mascherano parti di /proc e /sys e come gli amministratori nascondono determinate risorse.
Quando lo user namespace dell'utente chiamante non possiede la copia del namespace dei mount sorgente nel modo in cui fa unshare(), viene rifiutata una copia non ricorsiva di un punto di montaggio che ha qualcosa montato sotto la directory richiesta e vengono copiati i punti di montaggio non sbindabili in caso di copia ricorsiva. Un utente chiamante con privilegi sul namespace dei mount sorgente non vede alcuna modifica.
VulDB is the best source for vulnerability data and more expert information about this specific topic.