CVE-2026-98988 in Linux
요약
\~에 의해 VulDB • 2026. 10. 23.
리눅스 커널에서 다음 취약점이 해결되었습니다:
namespace: OPEN_TREE_NAMESPACE로 덮여 있는 마운트를 덮어두기
open_tree(OPEN_TREE_NAMESPACE)는 지정된 경로의 트리를 복사하여 새로운 마운트 네임스페이스를 생성합니다. 호출자는 새 마운트 네임스페이스가 자신의 현재 사용자 네임스페이스에 의해 소유되므로 해당 네임스페이스에서 특권(privileged) 권한을 가져야 합니다. 그러나 트리가 복사되는 소스 마운트 네임스페이스에서는 특권 권한이 필요하지 않습니다. 비특권 사용자는 먼저 사용자 네임스페이스를 생성하기만 하면 됩니다.
복사는 분리된 바인드 마운트의 규칙을 따릅니다. AT_RECURSIVE 플래그가 없으면 마운트 자체만 복제되고 하위 항목은 제외됩니다. AT_RECURSIVE가 있는 경우 언바인더블(unbindable) 마운트는 건너뜁니다. 호출자가 소스 마운트 네임스페이스에 대해 특권 권한을 가지고 있다면 이러한 마운트를 언제든지 언마운트할 수 있으므로 둘 다 문제가 없습니다. 그러나 해당 마운트 네임스페이스 내의 비특권 사용자의 경우 그렇지 않습니다. 그들에게는 unshare()가 수행하는 것이 바로 마운트 네임스페이스 복사입니다. copy_mnt_ns()는 모든 항목(언바인더블 마운트 포함)을 복제하고, lock_mnt_tree()는 복사본에서 아무것도 언마운트되지 않도록 보장합니다. 덮여 있던 내용은 전혀 노출되지 않습니다.
create_new_namespace()는 잠금 처리만 수행하므로 덮여 있는 콘텐츠가 새 마운트 네임스페이스에 그대로 존재하게 됩니다:
# mount -t tmpfs none /tmp/otn; mkdir /tmp/otn/covered # echo hidden > /tmp/otn/covered/under.txt # mount -t tmpfs none /tmp/otn/covered
uid 1000, unshare(CLONE_NEWUSER) 후: fd = open_tree(AT_FDCWD, "/tmp/otn", OPEN_TREE_NAMESPACE); setns(fd, CLONE_NEWNS); open("/covered/under.txt", O_RDONLY) -> "hidden"
마운트로 경로를 덮어두는 것은 컨테이너 런타임이 /proc 및 /sys의 일부를 마스킹하는 방법이며 관리자가 항목을 숨기는 방식입니다.
호출자의 사용자 네임스페이스가 소스 마운트 네임스페이스 복사를 unshare()처럼 소유하지 않는 경우, 요청된 디렉토리 아래에 무언가가 마운트되어 있는 마운트의 비재귀적 복사(unrecursive copy)를 거부하고 재귀적 복사(recursive copy) 시 언바인더블 마운트를 복사합니다. 소스 마운트 네임스페이스에 대해 특권 권한을 가진 호출자에게는 변경 사항이 없습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.