Odebrany

CVE-2026-98993

opublikowano: 23.10.2026, 15:17

modyfikacja: 23.10.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

przestrzeń nazw: nie dziedzicź MNT_UMOUNT w clone_mnt()

MNT_UMOUNT zostaje podniesiony na wierzchowcu, który ma umount_tree() lub umount_one()
wyjęty z jego przestrzeni nazw. To nigdy nie jest wyjaśnione. __detach_mounts()
odczepia uchwyt, który go przenosi, zamiast go odmontowywać.

rozłącz_mount() pozwala odmontowanemu dziecku pozostać podłączonym tylko wtedy, gdy jest
rodzic go niesie. propagate_umount() przyjmuje to jako znak, że zamontowano
zostanie odmontowany, gdy zdecyduje, co jeszcze można odmontować,
gdzie kończy się łańcuch zamkniętych wierzchowców i gdzie jest ponowne rodzicielstwo
przewyższyć.

clone_mnt() kopiuje flagi źródła i tylko maski
MNT_INTERNAL_FLAGS, który nie obejmuje MNT_UMOUNT. To był wierzchowiec
leniwie odmontowany, ale nadal może być utrzymywany przy życiu przez deskryptor pliku
kopiowane, gdy jego katalogiem głównym jest plik nsfs lub pidfs, ponieważ may_copy_tree()
akceptuje je przed sprawdzeniem, czy źródło w ogóle jest zamontowane:

mount --bind /proc/self/ns/net /tmp/x
wykonaj 3< /tmp/x
umount -l /tmp/x
mount --bind /proc/self/fd/3 /tmp/y

Mount na /tmp/y jest dołączony do przestrzeni nazw wywołującego za pomocą
MNT_UMOUNT jest już ustawiony i każda jego kopia ponownie dziedziczy flagę.

Powoduje to szereg błędów:

- Odłącz jego punkt montowania od przestrzeni nazw montowania, gdzie nią nie jest.
__detach_mounts() bierze to za wierzchowiec, który został wcześniej odmontowany,
odłącza go od rodzica i usuwa odwołanie do przestrzeni nazw
trzyma się tego. Pozostaje w przestrzeni nazw z o jedno odwołaniem za mało
i jako własny rodzic, więc nie można go odmontować poprzez plik
deskryptora, a przestrzeń nazw nigdy go już nie znajdzie. Kiedy
namespace zniknie, wyciekł i wskazuje na uwolnioną strukturę
mnt_namespace, które odczytują may_change_propagation() i anon_ns_root().
przy następnej zmianie propagacji lub mount_setattr() w pliku
deskryptor.

- Udostępnij i odmontuj peera. trace_transfers() następuje po
flagę od partnera do niego i usuwa go z grupy równorzędnej.

- Niech dotrze do niego propagowana ilość. zebra_candidates() zaznacza to za pomocą
T_UMOUNT_CANDIDATE, ale nigdy nie umieszcza go na liście kandydatów, więc
znak nigdy nie jest czyszczony i każda później propagowana liczba jednostek go pomija. Jeśli
jest to element nadrzędny zablokowanego montowania handle_locked() przyjmuje go jako
odcina i zatwierdza zablokowane dziecko, które powinno zostać i
rozłącz_mount() pozostawia to dziecko dołączone do niego, odmontowane pod
zamontowany rodzic, do czego służy funkcja connect_mount().
zapobiegać. Kiedy przestrzeń nazw zniknie, funkcja umount_tree() odwiedza dziecko
drugi raz. A kiedy funkcja __detach_mounts() uczyni ją swoim własnym rodzicem
reparent() nigdy nie znajduje końca łańcucha niezamontowanych rodziców.

Klon to nowy wierzchowiec, który nigdy nie był odmontowany. Dodaj MNT_UMOUNT
do MNT_INTERNAL_FLAGS, więc clone_mnt() nigdy go nie kopiuje. I ostrzegaj kiedy
umount_tree() osiąga wierzchowiec, który jest już ustawiony.

In the Linux kernel, the following vulnerability has been resolved:

namespace: don't inherit MNT_UMOUNT in clone_mnt()

MNT_UMOUNT gets raised on a mount that umount_tree() or umount_one() has
taken out of its namespace. It's never cleared. __detach_mounts()
unhooks a mount that carries it instead of unmounting it.

disconnect_mount() lets an unmounted child stay attached only if its
parent carries it. propagate_umount() takes it as the sign that a mount
is going to be unmounted when it decides what else can be unmounted,
where a chain of locked mounts ends and where a for reparenting an
overmount.

clone_mnt() copies the flags of the source and only masks
MNT_INTERNAL_FLAGS which doesn't include MNT_UMOUNT. A mount that was
lazily unmounted but is kept alive by a file descriptor can still be
copied when its root is an nsfs or pidfs file because may_copy_tree()
accepts those before checking whether the source is mounted at all:

mount --bind /proc/self/ns/net /tmp/x
exec 3< /tmp/x
umount -l /tmp/x
mount --bind /proc/self/fd/3 /tmp/y

The mount on /tmp/y is attached to the caller's namespace with
MNT_UMOUNT already set and every copy of it inherits the flag again.

That causes a number of bugs:

- Unlink its mountpoint from a mount namespace where it isn't one.
__detach_mounts() takes it for a mount that was unmounted earlier,
unhooks it from its parent and drops the reference the namespace
holds on it. It stays in the namespace with one reference too few
and as its own parent, so it can't be unmounted through the file
descriptor anymore and the namespace never finds it again. When the
namespace goes away it's leaked and points to a freed struct
mnt_namespace that may_change_propagation() and anon_ns_root() read
on the next propagation change or mount_setattr() through the file
descriptor.

- Make it shared and unmount a peer. trace_transfers() follows the
flag from the peer into it and strips it from its peer group.

- Let a propagated umount reach it. gather_candidates() marks it with
T_UMOUNT_CANDIDATE but never puts it on the candidate list, so the
mark is never cleared and every later propagated umount skips it. If
it's the parent of a locked mount handle_locked() takes it as the
cutoff and commits the locked child that should have stayed and
disconnect_mount() leaves that child attached to it, unmounted under
a mounted parent, which is what disconnect_mount() exists to
prevent. When the namespace goes away umount_tree() visits the child
a second time. And once __detach_mounts() has made it its own parent
reparent() never finds the end of the chain of unmounted parents.

A clone is a new mount that has never been unmounted. Add MNT_UMOUNT
to MNT_INTERNAL_FLAGS so clone_mnt() never copies it. And warn when
umount_tree() reaches a mount that already has it set.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve