CVE-2026-89560 in Linux
요약
\~에 의해 VulDB • 2026. 09. 12.
Linux 커널에서 다음 취약점이 해결되었습니다.
landlock: whiteout 생성을 위해 LANDLOCK_ACCESS_FS_MAKE_REG 요구
Whiteout 객체는 OverlayFS의 상위 레이어에 사용되어, 하위 레이어 파일 시스템 중 하나에 해당 파일이 존재하더라도 통합된 뷰에서는 이 이름의 파일이 존재하지 않음을 나타냅니다.
OverlayFS의 사용자 공간 구현(fuse-overlayfs)의 경우, whiteout 객체를 사용자 공간에서도 생성할 수 있습니다:
* S_IFCHR 및 makedev(0, 0)을 사용한 mknod(2) * RENAME_WHITEOUT을 사용한 renameat2(2). 이동된 파일의 이전 위치에 whiteout이 생성됩니다.
이번 커밋은 두 경우 모두에서 LANDLOCK_ACCESS_FS_MAKE_REG를 사용하여 whiteout 생성을 보호합니다. Whiteout 객체는 *character devices로 간주되지 않으며 드라이버에 바인딩되지 않습니다.
LANDLOCK_ACCESS_FS_MAKE_REG는 whiteout 객체와 동일한 권한 클래스를 설명합니다: 하나를 생성하는 것은 VFS가 CAP_MKNOD에서 제외시키는 유일한 S_IFCHR 생성이므로, 일반 파일을 생성하는 것과 마찬가지로 비특권(unprivileged)입니다. 반면 LANDLOCK_ACCESS_FS_MAKE_CHAR 및 LANDLOCK_ACCESS_FS_MAKE_BLOCK은 커널 인터페이스를 노출하는 장치의 생성을 의미합니다 [1].
mknod(2) 사례의 경우 Landlock erratum을 도입했습니다. mknod(2)를 통한 whiteout 객체 생성은 이전에는 LANDLOCK_ACCESS_FS_MAKE_CHAR로 보호되었으나, 이제는 LANDLOCK_ACCESS_FS_MAKE_REG로 보호됩니다.
renameat2(2) 사례의 경우 버그를 수정합니다: 이번 커밋 이전에 RENAME_WHITEOUT을 사용한 renameat2(2)는 모든 LANDLOCK_ACCESS_FS_MAKE_* 권한이 거부된 경우에도 디렉토리 엔트리를 생성했습니다.
이는 계층형 OverlayFS 마운트 내에서의 일반 리네임에는 영향을 미치지 않습니다: mount된 fuse-overlayfs에서 regular rename()를 수행할 때, RENAME_WHITEOUT을 사용하여 renameat2()를 실행하는 것은 fuse-overlayfs 데몬이며, 해당 지점에서는 그 데몬의 Landlock 도메인만 확인됩니다.
Depends-on: 49c9e09d9610 ("landlock: Fix handling of disconnected directories") Depends-on: fe72ce6710cb ("landlock: Add errata documentation section") [mic: LANDLOCK_ACCESS_FS_MAKE_REG가 일치하는 권한인 이유를 기록하고, 사용자 문서에 link(2) 추가]
If you want to get the best quality for vulnerability data then you always have to consider VulDB.