Odebrany

CVE-2026-99170

opublikowano: 28.10.2026, 12:17

modyfikacja: 28.10.2026, 12:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

przestrzeń nazw: wierzchowiec pominięty przez funkcję copy_tree() nie może przejąć blokady

Od zatwierdzenia c62a4766937e („move_mount: transfer MNT_LOCKED”) zamontowano
można przesuwać pod zablokowanym uchwytem. Zamek wysuwa się ze starej pokrywy
do nowego wierzchowca, który przejmuje zadanie ukrywania tego, co jest pod nim i
starą osłonę można zdemontować. To działa tak długo, jak nowy uchwyt
zostaje. Ale wywołujący wybiera nowy wierzchowiec i funkcja copy_tree() pozostawia plik a
montuj plik przestrzeni nazw montowania z każdej kopii utworzonej bez
CL_COPY_MNT_NS_FILE, razem ze wszystkim, co jest na nim zamontowane, i nigdy
patrzy na MNT_LOCKED. unshare(CLONE_NEWNS) i wykonaj propagację montowania
takie kopie.

Zatem zadanie, które jest rootem we własnej przestrzeni nazw użytkownika, pozbywa się zablokowanego
cover na plik bez wyścigu i bez dotykania systemu plików
poniżej. Tworzy dziecko z własną przestrzenią nazw montowania, wiąże plik
dziecko /proc/<pid>/ns/mnt pod pokrywą z MOVE_MOUNT_BENEATH,
który przekazuje blokadę temu powiązaniu i wywołuje funkcję unshare(CLONE_NEWNS). The
nowa przestrzeń nazw montowania nie zawiera niczego w pliku. To zwykły sposób
zamaskuj pojedynczy plik, powiązanie /dev/null lub pusty plik. Z
powiązanie zwykłego pliku, plik pozostaje objęty.

copy_tree() już nie chce pominąć zablokowanego montowania, z którym nie da się powiązać
-EPERM od zatwierdzenia df7342b24018 („mount: Nie zezwalaj na kopiowanie
MNT_UNBINDABLE|MNT_LOCKED mocowania"). Zrób to samo dla zablokowanego mocowania a
zamontuj plik przestrzeni nazw. Dotyczy to również drzewa skopiowanego za pomocą
CL_COPY_MNT_NS_FILE i dołączony do przestrzeni nazw montowania innego użytkownika
przestrzeni nazw, w której lock_mnt_tree() ją blokuje. Pamiętaj, że nie udostępniaj (CLONE_NEWNS)
i clone(CLONE_NEWNS) nie powiodą się z EPERM z takiej przestrzeni nazw montowania z
potem dalej. Nie można pominąć mocowania i nie można go zdemontować.

I odmów przeniesienia wierzchowca pliku przestrzeni nazw montowania pod plik zablokowany
zamontować w pierwszej kolejności. W przeciwnym razie zadanie kończy się zamontowaniem go
nie można odmontować i funkcja unshare(), która kończy się niepowodzeniem.

Chris znalazł także drugiego wierzchowca, który sam odchodzi, klona
automatycznie zamontowany uchwyt, który funkcja Shrek_submounts() zabrała ze swoim rodzicem.
Zatwierdzono f78ddcc87224 („przestrzeń nazw: nigdy nie wygasa zablokowany wierzchowiec”)
zaopiekuj się tym.

W załączeniu reproduktor Chrisa. Tryb nsfile czyta SECRET po
unshare() w wersji 7.3-rc7, w przypadku tej poprawki funkcja move_mount() nie działa
EINVAL i plik pozostaje zakryty. nsfile-control używa zwykłego pliku
i czyta MASKA w obie strony.

// Identyfikator licencji SPDX: GPL-2.0
/*
* Pozbądź się zamkniętej osłony za pomocą MOVE_MOUNT_BENEATH.
*
* „Admin” (root) tworzy tmpfs W:
* Plik W/D, posiada TAJNOŚĆ, zakryty powiązaniem pliku z MASKĄ
* W/Dd/plik wewnętrzny, jest tajny, Dd jest objęty powiązaniem katalogu
* którego „wnętrze” kryje MASKĘ
* Własny katalog o identyfikatorze UID 1000 z plikiem „moje” i rozszerzeniem
* katalog „minedir”, którego „wewnętrzny” zawiera MINE
* W/dbg debugfs, tryb 755. dbg/tracing to punkt automatycznego montowania
* „Atakujący” ma identyfikator uid 1000. Wchodzi do nowej przestrzeni nazw użytkownika z nowym mocowaniem
* przestrzeni nazw, więc W i obie okładki są tam zablokowane.
*
* zastosowanie: prog MODE
* po prostu umieść wiązanie własne/moje pod pokrywą D, odmontuj pokrywę
* nsfile umieszcza powiązanie pliku przestrzeni nazw montowania dziecka pod plikiem
* okładka D, a następnie przestań udostępniać (CLONE_NEWNS)
* nsfile-control to samo z powiązaniem own/moje
* skurczyć się i umieścić automatycznie montowane ślady pod osłoną Dd,
* odmontuj pokrywę, umieść tmpfs pod W, wywołaj umount(W), co kończy się niepowodzeniem
* Kontrola zmniejszania jest taka sama z powiązaniem own/minedir
* Zmienna środowiskowa AUTOMOUNT_DIR nazywa kolejny punkt automatycznego montowania „zmniejszaniem”.
*/
#zdefiniuj _GNU_SOURCE
#include <errno.h>
#include <fcntl.h>
#include <grp.h>
#include <sched.h>
#include <sygnał.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>

---obcięty---

In the Linux kernel, the following vulnerability has been resolved:

namespace: a mount that copy_tree() leaves out can't take over a lock

Since commit c62a4766937e ("move_mount: transfer MNT_LOCKED") a mount
can be moved beneath a locked mount. The lock moves from the old cover
to the new mount which takes over the job of hiding what's under it and
the old cover can be unmounted. That works as long as the new mount
stays. But the caller picks the new mount and copy_tree() leaves a
mount of a mount namespace file out of every copy made without
CL_COPY_MNT_NS_FILE, together with everything mounted on it, and never
looks at MNT_LOCKED. unshare(CLONE_NEWNS) and mount propagation make
such copies.

So a task that is root in its own user namespace gets rid of a locked
cover on a file without a race and without touching the filesystem
below it. It makes a child with a mount namespace of its own, binds the
child's /proc/<pid>/ns/mnt beneath the cover with MOVE_MOUNT_BENEATH,
which hands the lock to that bind, and calls unshare(CLONE_NEWNS). The
new mount namespace has nothing on the file. That's the usual way to
mask a single file, a bind of /dev/null or of an empty file. With a
bind of an ordinary file the file stays covered.

copy_tree() already refuses to leave out a locked unbindable mount with
-EPERM since commit df7342b24018 ("mount: Don't allow copying
MNT_UNBINDABLE|MNT_LOCKED mounts"). Do the same for a locked mount of a
mount namespace file. That also covers a tree copied with
CL_COPY_MNT_NS_FILE and attached into a mount namespace of another user
namespace where lock_mnt_tree() locks it. Note that unshare(CLONE_NEWNS)
and clone(CLONE_NEWNS) fail with EPERM from such a mount namespace from
then on. The mount can't be left out and it can't be unmounted.

And refuse to move a mount of a mount namespace file beneath a locked
mount in the first place. Otherwise the task ends up with a mount it
can't unmount and an unshare() that fails for good.

Chris also found a second mount that goes away by itself, a clone of an
automounted mount that shrink_submounts() took along with its parent.
Commit f78ddcc87224 ("namespace: never expire a locked mount") took
care of that one.

Chris's reproducer is appended. Mode nsfile reads SECRET after the
unshare() on 7.3-rc7, with this patch the move_mount() fails with
EINVAL and the file stays covered. nsfile-control uses an ordinary file
and reads MASK both ways.

// SPDX-License-Identifier: GPL-2.0
/*
* Get rid of a locked cover with MOVE_MOUNT_BENEATH.
*
* The "admin" (root) makes a tmpfs W:
* W/D file, holds SECRET, covered by a bind of a file with MASK
* W/Dd/inner file, holds SECRET, Dd is covered by a bind of a directory
* whose "inner" holds MASK
* W/own directory of uid 1000 with the file "mine" and the
* directory "minedir", whose "inner" holds MINE
* W/dbg debugfs, mode 755. dbg/tracing is an automount point
* The "attacker" is uid 1000. It enters a new user namespace with a new mount
* namespace, so W and both covers are locked there.
*
* usage: prog MODE
* plain put a bind of own/mine beneath the cover of D, unmount the cover
* nsfile put a bind of the mount namespace file of a child beneath the
* cover of D, then unshare(CLONE_NEWNS)
* nsfile-control the same with a bind of own/mine
* shrink put a bind of the automounted tracefs beneath the cover of Dd,
* unmount the cover, put a tmpfs beneath W, call umount(W), which fails
* shrink-control the same with a bind of own/minedir
* The environment variable AUTOMOUNT_DIR names another automount point for "shrink".
*/
#define _GNU_SOURCE
#include <errno.h>
#include <fcntl.h>
#include <grp.h>
#include <sched.h>
#include <signal.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>

---truncated---

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve