CVE-2026-74619 in Linux
요약
\~에 의해 VulDB • 2026. 08. 23.
리눅스 커널에서 다음 취약점이 해결되었습니다:
ovl: 다른 사용자 네임스페이스로부터 마운트가 완료될 때 경고하지 않음
fsopen()은 호출자의 사용자 네임스페이스를 fc->user_ns에 기록하고 일반 파일 설명자를 반환합니다. fsconfig(FSCONFIG_CMD_CREATE)을 호출하는 태스크와 컨텍스트를 생성한 태스크 사이에는 아무런 제약이 없습니다. 이 fd는 fork() 및 exec()를 통해 상속되며 유닉스 소켓을 통해 전달될 수 있습니다.
다른 사용자 네임스페이스에서 컨텍스트를 완료하는 것은 의도적으로 허용됩니다. vfs_cmd_create()은 mount_capable()로 생성을 승인하며, FS_USERNS_MOUNT의 경우 ns_capable(fc->user_ns, CAP_SYS_ADMIN)를 확인합니다. 이는 fc->user_ns의 조상에서 CAP_SYS_ADMIN 권한을 가진 태스크에 대해 성공합니다. 따라서 비특권 태스크가 ovl_fill_super() 내의 WARN_ON()에 도달할 수 있습니다: 자식 내에서 사용자 및 마운트 네임스페이스를 생성하고, 해당 위치에서 fsopen("overlay")를 호출한 후, fscontext fd를 부모에게 보내고 부모가 FSCONFIG_CMD_CREATE를 발행하도록 합니다. 두 네임스페이스는 단순한 unshare(1)에서 비롯되며 어디에서도 권한이 필요하지 않습니다:
WARNING: fs/overlayfs/super.c:1551 at ovl_fill_super+0x7b9/0x1e20 [overlay]
CPU: 3 UID: 1000 PID: 3243376 Comm: fswarn Call Trace: get_tree_nodev+0x71/0xa0 ovl_get_tree+0x15/0x20 [overlay]
vfs_get_tree+0x2a/0x100 vfs_cmd_create+0x60/0xf0 __do_sys_fsconfig+0x4b2/0x500
자식은 fsopen() 자체가 may_mount()에 대해 게이트를 두기 때문에 마운트 네임스페이스가 필요합니다. 이는 호출자의 마운트 네임스페이스를 소유한 사용자 네임스페이스에서 CAP_SYS_ADMIN을 요구합니다. fsconfig()은 해당 검사를 반복하지 않습니다.
이는 WARN_ON_ONCE()가 아닌 WARN_ON()이므로, 이 조건을 루프 내에서 발생시켜 커널을 오염시키고 로그를 폭주시킬 수 있으며, panic_on_warn로 부팅된 커널에서는 패닉을 유발할 수 있습니다.
마운트를 계속 거부하고 이에 대한 경고를 중지합니다. ovl_parse_param()은 이미 Opt_override_creds에 대해 이와 같은 사용자 네임스페이스 검사를 명시적으로 수행하고 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.