Odebrany

CVE-2026-98988

opublikowano: 23.10.2026, 15:17

modyfikacja: 23.10.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

przestrzeń nazw: zakrywaj wierzchowce w OPEN_TREE_NAMESPACE

open_tree(OPEN_TREE_NAMESPACE) tworzy nową przestrzeń nazw montowania z pliku a
kopię drzewa na podanej ścieżce. Osoba dzwoniąca musi być uprzywilejowana
nad bieżącą przestrzenią nazw użytkownika, ponieważ nowa przestrzeń nazw montowania będzie
jest jego własnością. Nie musi być uprzywilejowany w stosunku do przestrzeni nazw montowania
drzewo jest kopiowane. Nieuprzywilejowany użytkownik musi jedynie utworzyć plik
najpierw przestrzeń nazw użytkownika.

Kopia jest zgodna z zasadami odłączonego mocowania wiązania. Bez
AT_RECURSIVE klonowany jest tylko sam wierzchowiec i pozostają jego dzieci
na zewnątrz. W przypadku AT_RECURSIVE mocowania, których nie da się powiązać, są pomijane. Obydwa są w porządku, kiedy
osoba wywołująca ma uprawnienia do źródłowej przestrzeni nazw montowania, ponieważ jest to możliwe
i tak mógłbym odmontować te mocowania. Inaczej jest w przypadku nieuprzywilejowanego użytkownika
tej przestrzeni nazw montowania. Dla nich kopia przestrzeni nazw mount jest tym, co unshare()
robi. copy_mnt_ns() kopiuje wszystko, łącznie z wierzchołkami, których nie można powiązać i
lock_mnt_tree() upewnia się, że nic nie może zostać odmontowane w kopii. Nic
to, co zostało zakryte, zostaje ujawnione.

create_new_namespace() wykonuje tylko blokowanie, a więc i objętą treścią
znajduje się właśnie tam, w nowej przestrzeni nazw mount:

# mount -t tmpfs none /tmp/otn; mkdir /tmp/otn/covered
# echo ukryte > /tmp/otn/covered/under.txt
# mount -t tmpfs none /tmp/otn/covered

identyfikator użytkownika 1000, po wyłączeniu udostępniania (CLONE_NEWUSER):
fd = open_tree(AT_FDCWD, "/tmp/otn", OPEN_TREE_NAMESPACE);
setns(fd, CLONE_NEWNS);
open("/covered/under.txt", O_RDONLY) -> "ukryty"

Zakrywanie ścieżek wierzchowcami to sposób, w jaki środowiska wykonawcze kontenerów maskują części
/proc i /sys oraz jak administratorzy ukrywają różne rzeczy.

Gdy przestrzeń nazw użytkownika wywołującego nie jest właścicielem źródłowej przestrzeni nazw montowania
skopiuj sposób, w jaki robi to unshare() i odrzuć nierekurencyjną kopię montowania
który ma cokolwiek zamontowanego poniżej żądanego katalogu i kopii
montowania niemożliwe do powiązania w kopii rekurencyjnej. Osoba dzwoniąca, która jest uprzywilejowana
przestrzeń nazw montowania źródła nie widzi żadnych zmian.

In the Linux kernel, the following vulnerability has been resolved:

namespace: keep covered mounts covered in OPEN_TREE_NAMESPACE

open_tree(OPEN_TREE_NAMESPACE) creates a new mount namespace from a
copy of the tree at the given path. The caller needs to be privileged
over its current user namespace because the new mount namespace will be
owned by it. It doesn't need to be privileged over the mount namespace
the tree is copied from. An unprivileged user just needs to create a
user namespace first.

The copy follows the rules of a detached bind mount. Without
AT_RECURSIVE only the mount itself is cloned and its children are left
out. With AT_RECURSIVE unbindable mounts are skipped. Both is fine when
the caller has privileges over the source mount namespace because it
could unmount those mounts anyway. Not so for an unprivileged user in
that mount namespace. For them a mount namespace copy is what unshare()
does. copy_mnt_ns() copies everything including unbindable mounts and
lock_mnt_tree() makes sure nothing can be unmounted in the copy. Nothing
that was covered gets revealed.

create_new_namespace() only does the locking and so the covered content
is right there in the new mount namespace:

# mount -t tmpfs none /tmp/otn; mkdir /tmp/otn/covered
# echo hidden > /tmp/otn/covered/under.txt
# mount -t tmpfs none /tmp/otn/covered

uid 1000, after unshare(CLONE_NEWUSER):
fd = open_tree(AT_FDCWD, "/tmp/otn", OPEN_TREE_NAMESPACE);
setns(fd, CLONE_NEWNS);
open("/covered/under.txt", O_RDONLY) -> "hidden"

Covering paths with mounts is how container runtimes mask parts of
/proc and /sys and how admins hide things.

When the caller's user namespace doesn't own the source mount namespace
copy the way unshare() does and refuse a non-recursive copy of a mount
that has anything mounted below the requested directory and copy
unbindable mounts in a recursive copy. A caller that is privileged over
the source mount namespace sees no change.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve