CVE-2026-98976

W jądrze Linuksa usunięto następującą lukę:

przestrzeń nazw: trzymaj blokadę na wierzchowcu, pod którym przenoszona jest propagowana kopia

connect_recursive_mnt() przenosi MNT_LOCKED z górnego montowania do
uchwyt, który przesuwa się pod nim za pomocą MOVE_MOUNT_BENEATH. Pozwala to
właściciel przestrzeni nazw użytkownika, aby zastąpić zablokowany /proc lub katalog główny. The
mount poniżej przejmuje zadanie zakrycia bazowego punktu montowania
umożliwiający demontaż górnego mocowania.

Rozważ dwie przestrzenie nazw montowania:

(H) Host H ma wspólne wierzchowce P z sekretem w P/d
(Z) Z jest przestrzenią nazw użytkownika utworzoną z M. Jego kopia P odbiera
propagacja z P hosta i jego kopii osłony M na P/d wynosi
Właściciel zablokowanego Z nie może widzieć P/d.

Teraz (H) montuje X na P/d. To propaguje do (Z). Kopia X ląduje
pod zamkniętą pokrywą (Z). Zamknięta nieruchomość zostaje przekazana od (Z).
przykryć kopię X propagowaną pod nią. Pokrywa jest teraz odblokowana.

Teraz (H) ponownie odmontowuje X. Kopia X w (Z) zostaje odmontowana i plik
Mocowanie zakrywające pozostaje otwarte na górze P/d. (Z) może teraz go odmontować:

Z: umount2(P/d) = EINVAL /* pokrywa jest zablokowana */
H: zamontuj X na P/d, umount X /* oba propagują do Z /*
Z: umount2(P/d) = 0 /* pokrywa jest teraz odblokowana */
Z: czytaj P/d/secret = "ukryty przez root" /* sekret ujawniony */

Więc przenieś tylko zamkniętą własność na wierzchowiec poniżej dla wierzchowców
rozmówca umieścił. Rozmnożona kopia, która ląduje pod zamkniętym wierzchowcem
jest również zablokowany, dzięki czemu uchwyt na dole stosu przenosi a
zablokuj tak, jak oczekuje tego każda kontrola. Uchwyt na górze pozostaje zablokowany
aby upewnić się, że nadal zakrywa, nawet jeśli propagowany wierzchowiec jest taki
ponownie odmontowany.