Odebrany

CVE-2026-98996

opublikowano: 23.10.2026, 15:17

modyfikacja: 23.10.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

fs: nie odmontowuj po cichu zajętych wierzchowców

Pomocnik propagate_mount_busy() służy do decydowania, czy połączenie jest synchroniczne
może się udać. Czyni to poprzez przeglądanie kopii ofiar w aktach
montuje, do którego propaguje się jego rodzic. Jedna z tych funkcji z propagacji
piekło.

Pomija kopię, która ma wierzchowce podrzędne, z wyjątkiem przypadku pojedynczego
uchwyt podrzędny zakrywający katalog główny kopii. Algorytm ten był dokładny.
Już nie jest.

Pierwotnie podczas propagacji odmontowywano tylko kopie bezdzietne.
I 1064f874abc0 („mnt: Tuck montuje się pod innymi, zamiast tworzyć
mocowania cieniowe/boczne.”) zakończyło się dodaniem zakrytych uchwytów po obu stronach
jedno podejście.

Przyszedł 99b19d16471e („mnt: W uchwycie propgate_umount odwiedzanie wierzchowców
w dowolnej kolejności”) i zaczęło się odmontowywać więcej niż wcześniej:

[1]: Kopia wierzchowca jest odmontowywana, gdy każde z jej dzieci jest albo
jego wierzchołek lub kopię samej ofiary. W pierwszym przypadku
Overmount zostaje naprawiony. W tym drugim przypadku kopia
ofiara zostanie odmontowana.

Zatem propagate_umount() zostało przepisane bez dostosowywania
propagate_mount_busy(). A obecnie propagate_mount_busy() nie
spójrz na kopie ofiary, które mają dwoje lub więcej dzieci, ani jedno
dziecko, które nie jest przesadą.

Zatem żadna taka kopia w [1] nie jest sprawdzana
referencje. W rezultacie synchroniczne odmontowanie powiedzie się, ciągnąc
z uchwytu, który jest nadal w użyciu.

Kontener może na to wpaść z własnymi wierzchowcami. Gospodarz udostępnia a
drzewo z kontenerem, a host ma wierzchowca w tym drzewie:

mount -t tmpfs brak /mnt
mount --make-shared /mnt
mount -t tmpfs brak /mnt/a

/mnt kontenera jest podrzędną kopią podłączenia hosta. Pojemnik
teraz bierze oddzielną kopię drzewa i montuje ją pod nią
propaguje kopię /mnt/a i utrzymuje deskryptor pliku w drzewie
otwarte:

unshare -m --propagation bez zmian
mount --make-rslave /
fd = open_tree(AT_FDCWD, "/mnt", OPEN_TREE_CLONE | AT_RECURSIVE)
move_mount(fd, "", AT_FDCWD, "/mnt/a", MOVE_MOUNT_BENEATH)

grep /mnt /proc/self/mountinfo
775 355 ... /mnt ... master:646
777 775 ... /mnt/a ... mistrz:646
776 777 ... /mnt/a ... mistrz:647
778 777 ... /mnt/a/a ... mistrz:647

Dołączone drzewo (777) jest teraz zamontowane pod kopią kontenera
z /mnt/a. Tam też znajduje się uchwyt hosta (jak widać z hosta
montuj przestrzeń nazw). Zatem propagowana kopia (776) wierzchowca hosta jest włączona
na górze swojego korzenia, a jego kopia (778) znajduje się w nim. Teraz gospodarz
biegnie:

ilość /mnt/a

i to się udaje. Przesunięte drzewo i jego kopia zniknęły
z pojemnika. Teraz pozostała tylko rozmnożona kopia i udało się
przywrócony do poprzedniego stanu:

grep /mnt /proc/self/mountinfo
775 355 ... /mnt ... master:646
776 775 ... /mies./rok ...

Ale deskryptor pliku nadal odnosi się do przeniesionego drzewa. A więc synchroniczny
umount odłączył uchwyt, który jest nadal w użyciu.

Naucz propagate_mount_busy() tych samych kontroli, które propagate_umount()
robi. Teraz sprawdza, czy nie ma jednej ofiary bez dzieci
dla którego może założyć, że MNT_LOCKED jest usuwany przy każdej kopii
propagate_umount() tak. Kopie tworzą łańcuchy. IOW, gdy sama kopia
otrzymuje propagację od rodzica ofiary, a następnie od wierzchowca
punkt montowania wewnątrz tej kopii jest również kopią. Czy wierzchowiec otrzymuje
Propagację od ofiary można po prostu sprawdzić, przechodząc po niej
mistrzowie. Przejdź każdy łańcuch raz od jego szczytu, abyśmy mieli pewność, że jest on zagnieżdżony
kopie pozostają liniowe. Sprawdź raz każde odniesienie w każdej otrzymanej kopii
niezamontowany.

In the Linux kernel, the following vulnerability has been resolved:

fs: don't silently unmount busy mounts

The propagate_mount_busy() helper exists to decide whether a synchronous
can suceed. It does that by looking at the copies of the victims in the
mounts its parent propagates to. One of those functions from propagation
hell.

It skips a copy that has child mounts except for the case of a single
child mount covering the copy's root. That algorithm used to be exact.
It isn't anymore.

Originally only childless copies were unmounted during propagation.
And 1064f874abc0 ("mnt: Tuck mounts under others instead of creating
shadow/side mounts.") ended up adding covered mounts to both sides in
one go.

Along came 99b19d16471e ("mnt: In propgate_umount handle visiting mounts
in any order") and that started to unmount more than before:

[1]: A copy of a mount is unmounted when each of its children is either
its overmount or a copy of the victim itself. In the former case
the overmount gets reparented. In the latter case the copy of the
victim will end up being unmounted.

So propagate_umount() ended up being rewritten without adjusting
propagate_mount_busy(). And currently propagate_mount_busy() doesn't
look at copies of the victim that have two or more children nor a single
child that is not the overmount.

So any such copy in [1] is not checked for
references. The result is that a synchronous unmount succeeds, pulling
out a mount that is still in use.

A container can run into this with its own mounts. The host shares a
tree with the container and the host has a mount in that tree:

mount -t tmpfs none /mnt
mount --make-shared /mnt
mount -t tmpfs none /mnt/a

The container's /mnt is a slave copy of the host mount. The container
now takes a detached copy of the tree and mounts that copy beneath its
propagated copy of /mnt/a and keeps the file descriptor to the tree
open:

unshare -m --propagation unchanged
mount --make-rslave /
fd = open_tree(AT_FDCWD, "/mnt", OPEN_TREE_CLONE | AT_RECURSIVE)
move_mount(fd, "", AT_FDCWD, "/mnt/a", MOVE_MOUNT_BENEATH)

grep /mnt /proc/self/mountinfo
775 355 ... /mnt ... master:646
777 775 ... /mnt/a ... master:646
776 777 ... /mnt/a ... master:647
778 777 ... /mnt/a/a ... master:647

The now attached tree (777) is now mounted beneath the container's copy
of /mnt/a. That's also where the host mount sits (as seen from the host
mount namespace). So the propagated copy (776) of the host's mount is on
top of its root and the copy of that (778) is inside it. Now the host
runs:

umount /mnt/a

and it succeeds. The moved tree tree and the copy inside of it are gone
from the container. Now only the propagated copy is left and it got
reparented to where it was before:

grep /mnt /proc/self/mountinfo
775 355 ... /mnt ... master:646
776 775 ... /mnt/a ...

But the file descriptor still refers to the moved tree. So a synchronous
umount detached a mount that is still in use.

Teach propagate_mount_busy() the same checks that propagate_umount()
does. It now checks for a single victim mount without children
for which it can assume that MNT_LOCKED is cleared on every copy like
propagate_umount() does. The copies form chains. IOW, when a copy itself
receives propagation from the victim's parent then the mount at the same
mountpoint inside that copy is a copy as well. Whether a mount receives
propagation from the victim's can simply be checked by walking its
masters. Walk each chain once from its top so we are sure that nested
copies stay linear. Check every reference once of every copy that gets
unmounted.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve