CVE-2026-98992 in Linux
要約
〜によって VulDB • 2026年10月23日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
名前空間: アンマウントされたマウントツリーのコピーを禁止する
may_copy_tree()は、そのルートがnsfsまたはpidfsファイルであるマウントについて、それが実際にマウントされているかどうかをチェックする前に受け入れます。この例外はnsfsおよびpidfsのマウントのために存在します。これらはどのマウント名前空間にも属さないため、check_mnt()やis_mounted()では通過できず、nsfsfdまたはpidfdのbind-mountingは機能しません。
問題は、その例外が、ラジカルにアンマウントされ、ファイル記述子によってのみ生存を維持されている場合でも、そのようなファイルのbind mountを許可してしまう点にあります:
mount --bind /proc/self/ns/net /tmp/x exec 3< /tmp/x umount -l /tmp/x mount --rbind /proc/self/fd/3 /tmp/y
MS_RECまたはAT_RECURSIVEを使用すると、copy_tree()はアンマウントされたマウントで停止しません。それに付随し続けたすべてのマウントもコピーされます。したがって、nsfsfdやpidfdの上に多数のオーバーマウントがある場合、アンマウントされたスタック全体がコピーされてしまいます。これはバグです。
そこで、アンマウントされたツリーを再帰的に辿ることを拒否します。ルートのみのコピーは依然として可能です。そのため、消失した名前空間のbind mountは、古いものに対するファイル記述子からまだ再生成できます。ファイル記述子はそのマウントとルートを固定し、__has_locked_children()はnamespace_semなしで親のリストから外れない直接の子供だけを参照します。内部マウントにはNULLではなくMNT_NS_INTERNALが持ち込まれており、依然として辿られます。アンマウントされたツリーを再帰的にコピーしようとすると、EINVALエラーになります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.