CVE-2026-99170: bypass di locked mount nel kernel Linux

Vulnerabilità nel kernel Linux (CVSS 8,8) che permette bypass di locked mount tramite operazioni di namespace.

CVE-2026-99170 riguarda una vulnerabilità nel kernel Linux che permette a un processo root isolato di aggirare i locked mount tramite copy_tree(). Il difetto consiste nel mancato controllo del flag MNT_LOCKED durante operazioni di namespace (unshare() o clone() con CLONE_NEWNS). Un attaccante può spostare un mount namespace file al di sotto di un locked mount e chiamare unshare(CLONE_NEWNS) per mascherare file senza modificare il filesystem sottostante.

La gravità è CVSS 8,8 (high). I segnali coerenti provengono da NVD (risolto) e post su X/Twitter confermano patch in kernel 7.2.13. Non sono segnalati sfruttamenti attivi, ma la tecnica è semplice. L'impatto colpisce sistemi multitenant, ambienti containerizzati e architetture che si basano sull'isolamento di namespace.

Per la difesa: aggiornare il kernel a 7.2.13 prioritariamente. Dove il rollout non è immediato, implementare controlli su unshare() e clone() tramite seccomp o eBPF. Monitorare i log di mount, limitare i privilegi di user namespace creation, e verificare i kernel sottostanti nei container.

In sintesi

Cosa: CVE-2026-99170: difetto nella funzione copy_tree() del kernel Linux. Durante operazioni di namespace (unshare, clone con CLONE_NEWNS) non verifica correttamente il flag MNT_LOCKED su mount di namespace file. Consente bypass di protezioni e smontaggio di coperture di dati sensibili senza modificare il filesystem sottostante.
Gravità: CVSS 8,8 (high). Un processo root in user namespace isolato aggira locked mount e smonta protezioni su file ordinari. Impatto diretto su sistemi multitenant e containerizzati.
Versioni interessate: Kernel Linux (versioni specifiche non dettagliate nei dati ufficiali). Patch integrata a partire da kernel 7.2.13.
Correzione: Rifiutare copy_tree() quando contiene locked mount di namespace file (EPERM). Rifiutare move_mount() di namespace file al di sotto di locked mount. Introdotte a partire da kernel 7.2.13.
Stato: Risolta. CVE pubblicato il 2026-10-28. Patch confermata in kernel 7.2.13 secondo post ufficiali.
Azione: Aggiornare kernel a 7.2.13 o successivo. Monitorare log di mount per attività anomale. Limitare privilegi di user namespace creation. Implementare controlli seccomp/eBPF su unshare() e clone() dove rollout immediato non è possibile.

Fonti: NVD, CVE-2026-99170

← Tutti gli articoli