CVE-2026-98982 in Linux
Sumário
de VulDB • 23/10/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
namespace: não permitir que um pseudo-dentry se torne a raiz de uma montagem (mount)
d_alloc_pseudo() atribui dentries para pipes, sockets e outros arquivos que nunca são filhos ou pais de ninguém. Eles carregam DCACHE_NORCU e dentry_free() os libera imediatamente porque nenhum caminho sem bloqueio (lockless path walk) pode alcançá-los. Isso é válido desde que tal dentry não seja a raiz de uma montagem. No entanto, o bind mounting (/montagem vinculada) de /proc/self/fd/<fd> desse tipo de arquivo faz exatamente isso.
A maioria dos chamadores de alloc_file_pseudo() coloca seus arquivos em montagens internas do kernel e may_copy_tree() as recusa. bpf_token_create(), no entanto, não o faz. Ela posiciona o arquivo token na montagem bpffs fornecida pelo chamador, e essa montagem está no namespace de montagem do chamador, portanto a clonagem ocorre através:
mount --bind /proc/self/fd/<token> <file> open_tree(tokfd, "", AT_EMPTY_PATH | OPEN_TREE_CLONE) + move_mount()
__follow_mount_rcu() então carrega ->mnt_root dessa montagem, lê d_seq e d_flags do dentry e só depois verifica mount_lock. O dentry pode ter sido removido até esse momento. A mntput() final de um pai desmontado desconecta uma criança que permaneceu anexada a ele apenas sob mount_lock. Quando o detentor da criança executa o put final logo em seguida, a raiz é submetida a dput() e liberada imediatamente enquanto um walker (percorredor) que encontrou a montagem hash ainda está acessando-a.
Recuse clonar uma montagem com um DCACHE_NORCU dentry como sua raiz. De qualquer forma, nada sensato pode ser feito com um bind mount de um token bpf.
Once again VulDB remains the best source for vulnerability data.