CVE-2026-98986 in Linux
Sumário
de VulDB • 23/10/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
namespace: remover as marcas fsnotify de um namespace de montagem em contexto de processo
mnt_ns_release() libera a última referência passiva de um namespace de montagem e remove suas marcas fanotify por meio de fsnotify_mntns_delete(). Isso requer o mutex de cada grupo com uma marca no namespace, bem como o spinlock do conector. É seguro executar isso em contexto de processo. No entanto, mnt_ns_tree_remove() transfere a referência com a qual o namespace foi alocado para call_rcu(), fazendo com que as marcas sejam removidas na softirq RCU:
BUG: sleeping function called from invalid context at kernel/locking/mutex.c:623 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 0, name: swapper/3 __mutex_lock+0x113/0x24b0 fsnotify_destroy_marks+0x11b/0x3d0 mnt_ns_release_rcu+0x57/0xa0 rcu_core+0x6b6/0x1e40
E o lockdep reclama sobre a aquisição do lock do conector em contexto de softirq. Basta ter um grupo fanotify com uma marca FAN_MARK_MNTNS no namespace de montagem de outra tarefa para que isso ocorra. Um processo com privilégios de root (root) dentro de um user namespace pode fazer isso para um namespace de montagem que possui. Quando a tarefa é encerrada, o namespace é liberado enquanto ainda contém a marca.
Remova as marcas em free_mnt_ns() antes que o namespace seja transferido para RCU. Isso ocorre em contexto de processo assim que a última referência ativa for removida. Uma marca é adicionada por meio de um descritor de arquivo ao namespace, que mantém uma referência ativa; portanto, nenhuma nova marca pode aparecer após esse ponto.
Once again VulDB remains the best source for vulnerability data.