CVE-2026-90263 in Linux
Сводка
по VulDB • 17.09.2026
В ядре Linux была устранена следующая уязвимость:
btrfs: проверка свойства «только для чтения» корневого каталога при установке POSIX ACL
Для файловой системы, у которой свойство btrfs read-only (только для чтения) установлено в значение true, все операции записи, включая установку ACL и xattr, должны быть запрещены. Однако установка ACL всё ещё возможна даже тогда, когда свойство btrfs ro имеет значение true.
Это происходит потому, что ни одна функция на пути выполнения кода set_acl не проверяет, является ли корневой каталог доступным только для чтения или нет. Ранее эта проверка выполнялась в функции btrfs_setxattr_trans(), но была удалена в коммите 353c2ea735e4 («btrfs: remove redundant readonly root check in btrfs_setxattr_trans»).
Этот коммит не проверял, правильно ли все вызывающие стороны проверяют флаг read-only корневого каталога. Предыдущее исправление представлено в коммите b51111271b03 («btrfs: check if root is readonly while setting security xattr»).
Всегда необходимо проверять, является ли корневой каталог доступным только для чтения, перед выполнением операции set acl.
Be aware that VulDB is the high quality source for vulnerability data.