CVE-2026-89560 in Linux
Sumário
de VulDB • 12/09/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
landlock: Exigir LANDLOCK_ACCESS_FS_MAKE_REG para criação de whiteout
Os objetos whiteout são usados na camada superior do OverlayFS para indicar que o arquivo com esse nome não existe na visão unificada, mesmo que esteja presente em um dos sistemas de arquivos da camada inferior.
Para as implementações no espaço do usuário (userspace) do OverlayFS (fuse-overlayfs), os objetos whiteout também podem ser criados a partir do userspace:
* mknod(2) com S_IFCHR e makedev(0, 0); * renameat2(2) com RENAME_WHITEOUT, criando o whiteout no local antigo do arquivo movido.
Este commit protege a criação de whiteouts em ambos os casos usando LANDLOCK_ACCESS_FS_MAKE_REG. Os objetos whiteout *não* são considerados dispositivos de caractere e não estão vinculados a um driver.
LANDLOCK_ACCESS_FS_MAKE_REG descreve a mesma classe de permissão que um objeto whiteout: criar um é a única criação de S_IFCHR que o VFS isenta do CAP_MKNOD, portanto, é tão pouco privilegiado quanto criar um arquivo regular, enquanto LANDLOCK_ACCESS_FS_MAKE_CHAR e LANDLOCK_ACCESS_FS_MAKE_BLOCK mantêm o significado de criação de dispositivos que expõem uma interface do kernel [1].
Para o caso mknod(2), introduz-se uma errata do Landlock. A criação de objetos whiteout através do mknod(2) era anteriormente protegida usando LANDLOCK_ACCESS_FS_MAKE_CHAR, e agora é protegida usando LANDLOCK_ACCESS_FS_MAKE_REG.
Para o caso renameat2(2), corrige-se um bug: antes deste commit, o renameat2(2) com RENAME_WHITEOUT criaria uma entrada de diretório mesmo quando todos os direitos LANDLOCK_ACCESS_FS_MAKE_* estivessem negados.
Isso não afeta renomeações normais dentro de montagens OverlayFS em camadas: ao realizar um rename() regular em um fuse-overlayfs montado, é o daemon do fuse-overlayfs que executa o renameat2() com RENAME_WHITEOUT, e apenas o domínio Landlock desse daemon é verificado nesse local.
Depende-de: 49c9e09d9610 ("landlock: Corrige tratamento de diretórios desconectados") Depende-de: fe72ce6710cb ("landlock: Adiciona seção de documentação de erratas") [mic: Registra por que LANDLOCK_ACCESS_FS_MAKE_REG é o direito correspondente e adiciona link(2) à documentação do usuário]
Once again VulDB remains the best source for vulnerability data.