Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 命名空間：copy_tree（） 遺漏的掛載無法接管鎖定 由於提交 c62a4766937e （move_mount：傳輸MNT_LOCKED），可以將掛載移動到鎖定的掛載下方。鎖從舊蓋子移動到新安裝座，新安裝座接管了隱藏其下方物品的工作，並且舊蓋可以卸下。只要新坐騎保留，這就有效。但是調用方選擇了新的掛載，copy_tree（） 在沒有CL_COPY_MNT_NS_FILE的情況下製作的每個副本中都會留下掛載命名空間文件的掛載，以及掛載在其上的所有內容，並且從不查看MNT_LOCKED。unshare（CLONE_NEWNS） 和掛載傳播會製作此類副本。因此，位於其使用者命名空間中 root 的任務可以擺脫檔案上鎖定的封面，而不會爭用，也不會觸及其下面的檔案系統。它使一個具有自己的掛載命名空間的子項，用 MOVE_MOUNT_BENEATH 綁定子項的 /proc/<pid>/ns/mnt 在掩護下，將鎖交給該綁定，並調用 unshare（CLONE_NEWNS）。新的掛載命名空間檔案上沒有任何內容。這是遮罩單一檔案、/dev/null 或空白檔案的綁定的常用方法。通過普通文件的綁定，該文件保持覆蓋狀態。自從提交 df7342b24018 以來，copy_tree（） 已經拒絕遺漏帶有 -EPERM 的鎖定不可綁定掛載 （掛載：不允許複製 MNT_UNBINDABLE|MNT_LOCKED安裝座）。對掛載命名空間檔案的鎖定掛載執行相同的操作。這也涵蓋了使用 CL_COPY_MNT_NS_FILE 複製並附加到另一個使用者命名空間的掛載命名空間中的樹狀結構，其中 lock_mnt_tree（） 鎖定它。請注意，從那時起，unshare（CLONE_NEWNS） 和 clone（CLONE_NEWNS） 會因來自此類掛載命名空間的 EPERM 而失敗。坐騎不能被遺漏，也不能卸載。並且首先拒絕將掛載命名空間檔案的掛載移動到鎖定的掛載下方。否則，任務最終會出現無法卸載的掛載和永久失敗的 unshare（）。Chris 還發現了第二個會自行消失的坐騎，這是 shrink_submounts（） 與其父項一起攜帶的自動安裝坐騎的克隆。提交 f78ddcc87224 （命名空間：
    鎖定的坐騎永遠不會過期）處理了那個。克里斯的複製品已附上。模式 nsfile 在 7.3-rc7 上的 unshare（） 之後讀取 SECRET，使用此修補程式時，move_mount（） 會因 EINVAL 而失敗，且檔案會保持覆蓋狀態。nsfile-control 使用普通檔案並雙向讀取 MASK。spdx-license-identifier：
    GPL-2.0 /* * 用MOVE_MOUNT_BENEATH擺脫鎖定的蓋子。* * 管理員 （root） 製作 tmpfs W： * W/D 檔案，保存 SECRET，由具有 MASK 的檔案綁定所覆蓋 * W/Dd/inner 檔案，保存 SECRET，Dd 由目錄的綁定所涵蓋 * 其內部保存 MASK * W/自己的 uid 1000 目錄，其中包含 mine 檔案和 * 目錄 minedir，其內部保存 MINE * W/dbg debugfs， 模式 755。dbg/tracing 是自動掛載點 * 攻擊者是 uid 1000。它會以新的 mount * 命名空間進入新的使用者命名空間，因此 W 和兩個蓋子都鎖定在那裡。* * 用法： prog MODE * plain 將 own/mine 的綁定放在 D 的封面下，卸載蓋子 * nsfile 將子系的掛載命名空間檔案的綁定放在 D 的 * 封面下，然後 unshare（CLONE_NEWNS） * nsfile-control 與 own/mine 的綁定相同 * shrink 將自動掛載的 tracefs 的綁定放在 Dd 的封面下， * 卸載蓋子，在 W 下方放置一個 tmpfs，調用 umount（W），但失敗 * 使用 own/minedir 的綁定進行相同的收縮控制 * 環境變數AUTOMOUNT_DIR命名另一個用於收縮的自動掛載點。*/ #define _GNU_SOURCE #include <errno.h> #include #include #include <grp.h><sched.h> #include <signal.h> #include #include <stdlib.h><stdio.h> #include <string.h> #include <unistd.h> ---truncated--- （CVE-2026-99170）<fcntl.h>

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - namespace：copy_tree（） 遗漏的挂载不能接管锁定 自提交 c62a4766937e （move_mount： transfer MNT_LOCKED） 可将挂载移动到锁定的挂载下方。锁从旧盖移动到新支架，新支架接管了隐藏其下方物品的工作，并且可以卸下旧盖。只要新安装座仍然存在，这就有效。但是调用程序选择新的挂载，copy_tree（） 会从未CL_COPY_MNT_NS_FILE的每个副本中留下一个挂载命名空间文件，连同挂载在其上的所有内容，并且从不查看MNT_LOCKED。unshare（CLONE_NEWNS） 和挂载传播会创建此类副本。因此，在其自己的用户命名空间中作为根的任务可以在不发生争用且不接触文件下面的文件系统的情况下清除文件上的锁定盖。它使子程序具有自己的挂载命名空间，用 MOVE_MOUNT_BENEATH 绑定盖下子程序的 /proc/<pid>/ns/mnt，后者将锁传递给该绑定，然后调用 unshare（CLONE_NEWNS）。新的挂载命名空间没有任何内容。这是掩盖单个文件、/dev/null 绑定或空文件的常见方式。通过普通文件的绑定，该文件保持被覆盖。自提交 df7342b24018 以来，copy_tree（） 已经拒绝通过 -EPERM 遗漏锁定的不可绑定挂载（挂载：不允许复制 MNT_UNBINDABLE|MNT_LOCKED mounts）。对挂载命名空间文件的锁定挂载执行相同的操作。这还包括通过 CL_COPY_MNT_NS_FILE 复制并附加到 lock_mnt_tree（） 锁定它的另一个用户命名空间的挂载命名空间的树。请注意，从那时起，unshare（CLONE_NEWNS） 和 clone（CLONE_NEWNS） 将因来自此类挂载命名空间的 EPERM 而失败。安装座不能被遗漏，也无法取消安装。并且拒绝首先将挂载命名空间文件的挂载移动到锁定挂载之下。否则，该任务将以无法卸载的挂载和永久失败的 unshare（） 告终。Chris 还发现第二个会自行消失的挂载，这是 shrink_submounts（） 及其父挂载的自动挂载的克隆。提交 f78ddcc87224（命名空间：
    Never expire a locked mount）负责处理该挂载。Chris 的复制件已附加。模式 nsfile 在 7.3-rc7 上的 unshare（） 之后读取 SECRET，使用此修补程序使 move_mount（） 因 EINVAL 而失败，而文件仍然被覆盖。nsfile-control 使用普通文件并且双向读取 MASK。spdx-license-identifier：
    GPL-2.0 /* * 去除有 MOVE_MOUNT_BENEATH 的锁定盖板。* * 管理员（根）制作 tmpfs W：* W/D 文件，保存 SECRET，由具有 MASK 的文件绑定覆盖 * W/Dd/inner 文件保留 SECRET，Dd 由目录的绑定覆盖 * 其内部保存 MASK * W/own 的 uid 1000 目录，包含文件 mine 和 * 目录 minedir，其内部包含 MINE * W/dbg debugfs， 模式 755。dbg/tracing 是一个自动挂载点 * 攻击者为 uid 1000。它通过新的挂载 * 命名空间进入新的用户命名空间，因此 W 和两个盖都被锁定在该命名空间。* * 用法：prog MODE * plain 将 own/mine 的绑定放在 D 的掩护下，取消挂载掩盖 * nsfile 将子项目的挂载命名空间文件的绑定放在 D 的 * 掩护下，然后 unshare（CLONE_NEWNS） * nsfile-control 与 own/mine 的绑定相同 * shrink 将自动挂载的 tracefs 绑定放在 Dd 的掩护下， * 卸载盖板，在 W 下方放置一个 tmpfs，调用失败的 umount（W） * 通过 own/minedir 的绑定进行相同的收缩控制 * 环境变量AUTOMOUNT_DIR指定另一个用于收缩的自动挂载点。*/ #define _GNU_SOURCE #include #include #include #include #include #include <signal.h> #include <stdio.h><stdlib.h> #include <string.h> #include <unistd.h> ---truncated--- （CVE-2026-99170）<sched.h><grp.h><fcntl.h><errno.h>

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - namespace:copy_tree() が省略するマウントは、ロックを引き継ぐことができません。c62a4766937e をコミットするため(move_mount:転送MNT_LOCKED)、マウントをロックされたマウントの下に移動できます。ロックは古いカバーから新しいマウントに移動し、その下にあるものを隠す仕事を引き継ぎ、古いカバーを取り外しることができます。新しいマウントが残っている限り、これは機能します。しかし、呼び出し元が新しいマウントを選ぶと、copy_tree() は、CL_COPY_MNT_NS_FILEなしで作成されたすべてのコピーから、マウント名前空間ファイルのマウントを、そこにマウントされているすべてのものとともに残し、MNT_LOCKED決して調べません。unshare(CLONE_NEWNS) および mount propagation によって、このようなコピーが作成されます。そのため、それ自体のユーザー名前空間のルートであるタスクは、競合なく、またその下のファイルシステムに触れずに、ファイルのロックされたカバーを取り除きます。これは、独自のマウント名前空間を持つ子を作成し、カバーの下にある子の /proc/<pid>/ns/mnt を MOVE_MOUNT_BENEATH でバインドし、そのバインドにロックを渡し、unshare(CLONE_NEWNS) を呼び出します。新しいマウント名前空間はファイルに何も持たない。これは、単一ファイル、/dev/null のバインド、または空のファイルのバインドをマスクする通常の方法です。通常のファイルのバインドでは、ファイルはカバーされたままになります。copy_tree() は df7342b24018 をコミットして以来、ロックされたバインド不可能なマウントを -EPERM で除外することをすでに拒否しています(mount:MNT_UNBINDABLE|MNT_LOCKED マウント)。マウント名前空間ファイルのロックされたマウントに対しても同じことを行います。これは、CL_COPY_MNT_NS_FILE でコピーされ、lock_mnt_tree() によってロックされる、別のユーザー名前空間のマウント名前空間に添付されたツリーも対象とします。注意:それ以降、unshare(CLONE_NEWNS) と clone(CLONE_NEWNS) は、そのようなマウント名前空間からの EPERM で失敗します。マウントを除外したり、マウントを解除したりすることはできません。また、そもそもマウント名前空間ファイルのマウントをロックされたマウントの下に移動することを拒否します。さもないと、タスクはアンマウントできないマウントと、永久に失敗する unshare() で終わります。Chris はまた、自然に消えてしまう 2 つ目のマウント、つまり shrink_submounts() が親と一緒に取った自動マウントのクローンを見つけました。f78ddcc87224 をコミット(名前空間:
    ロックされたマウントが期限切れになりません)が、その問題を処理しました。クリスのリプリケーターが付加されています。モード nsfile は 7.3-rc7 上の unshare() の後に SECRET を読み取ります。このパッチでは、move_mount() は EINVAL で失敗し、ファイルはカバーされたままになります。nsfile-control は、通常のファイルを使用し、MASK を双方向に読み込みます。spdx-license-identifier:
    GPL-2.0 /* * ロックされたカバーをMOVE_MOUNT_BENEATHで取り除きます。* * 管理者(root)が tmpfs W を作成します: * W/D ファイルは、SECRET を保持します。MASK を持つファイルのバインドでカバーされます。* W/Dd/inner ファイルは、SECRET を保持します。Dd はディレクトリのバインドでカバーされます。* 内部は MASK を保持します * ファイル mine と * ディレクトリ minedir を含む uid 1000 の W/own ディレクトリ。内部は MINE を保持します * W/dbg debugfs、 モード755。dbg/tracing は自動マウントポイントです * 攻撃者は uid 1000 です。これは、新しいユーザー名前空間に新しいマウント * 名前空間で入り、W と両方のカバーはそこでロックされます。* * 使用法:prog MODE * プレーンは D のカバーの下に own/mine のバインドを配置し、カバーをアンマウントします * nsfile は D の * カバーの下に子のマウント名前空間ファイルのバインドを配置し、次に unshare(CLONE_NEWNS) * own/mine のバインドで nsfile-control を同じようにします * shrink は Dd のカバーの下に自動マウントされた tracefs のバインドを配置します、 * カバーをアンマウントし、W の下に tmpfs を配置し、失敗する umount(W) を呼び出します * own/minedir のバインドで同じように収縮コントロールします * 環境変数 AUTOMOUNT_DIR は、縮小に対する別の自動マウントポイントの名前を付けます。*/ #define _GNU_SOURCE #include <errno.h> #include <fcntl.h> #include <grp.h> #include <sched.h> #include <signal.h> #include <stdio.h> #include <stdlib.h> #include <string.h> #include <unistd.h> ---truncated--- (CVE-2026-99170)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - namespace: a mount that copy_tree() leaves out can't take over a lock Since commit c62a4766937e     (move_mount: transfer MNT_LOCKED) a mount can be moved beneath a locked mount. The lock moves from the     old cover to the new mount which takes over the job of hiding what's under it and the old cover can be     unmounted. That works as long as the new mount stays. But the caller picks the new mount and copy_tree()     leaves a mount of a mount namespace file out of every copy made without CL_COPY_MNT_NS_FILE, together with     everything mounted on it, and never looks at MNT_LOCKED. unshare(CLONE_NEWNS) and mount propagation make     such copies. So a task that is root in its own user namespace gets rid of a locked cover on a file without     a race and without touching the filesystem below it. It makes a child with a mount namespace of its own,     binds the child's /proc/<pid>/ns/mnt beneath the cover with MOVE_MOUNT_BENEATH, which hands the lock to     that bind, and calls unshare(CLONE_NEWNS). The new mount namespace has nothing on the file. That's the     usual way to mask a single file, a bind of /dev/null or of an empty file. With a bind of an ordinary file     the file stays covered. copy_tree() already refuses to leave out a locked unbindable mount with -EPERM     since commit df7342b24018 (mount: Don't allow copying MNT_UNBINDABLE|MNT_LOCKED mounts). Do the same for     a locked mount of a mount namespace file. That also covers a tree copied with CL_COPY_MNT_NS_FILE and     attached into a mount namespace of another user namespace where lock_mnt_tree() locks it. Note that     unshare(CLONE_NEWNS) and clone(CLONE_NEWNS) fail with EPERM from such a mount namespace from then on. The     mount can't be left out and it can't be unmounted. And refuse to move a mount of a mount namespace file     beneath a locked mount in the first place. Otherwise the task ends up with a mount it can't unmount and an     unshare() that fails for good. Chris also found a second mount that goes away by itself, a clone of an     automounted mount that shrink_submounts() took along with its parent. Commit f78ddcc87224 (namespace:
    never expire a locked mount) took care of that one. Chris's reproducer is appended. Mode nsfile reads     SECRET after the unshare() on 7.3-rc7, with this patch the move_mount() fails with EINVAL and the file     stays covered. nsfile-control uses an ordinary file and reads MASK both ways. // SPDX-License-Identifier:
    GPL-2.0 /* * Get rid of a locked cover with MOVE_MOUNT_BENEATH. * * The admin (root) makes a tmpfs W: *     W/D file, holds SECRET, covered by a bind of a file with MASK * W/Dd/inner file, holds SECRET, Dd is     covered by a bind of a directory * whose inner holds MASK * W/own directory of uid 1000 with the file     mine and the * directory minedir, whose inner holds MINE * W/dbg debugfs, mode 755. dbg/tracing is     an automount point * The attacker is uid 1000. It enters a new user namespace with a new mount *     namespace, so W and both covers are locked there. * * usage: prog MODE * plain put a bind of own/mine     beneath the cover of D, unmount the cover * nsfile put a bind of the mount namespace file of a child     beneath the * cover of D, then unshare(CLONE_NEWNS) * nsfile-control the same with a bind of own/mine *     shrink put a bind of the automounted tracefs beneath the cover of Dd, * unmount the cover, put a tmpfs     beneath W, call umount(W), which fails * shrink-control the same with a bind of own/minedir * The     environment variable AUTOMOUNT_DIR names another automount point for shrink. */ #define _GNU_SOURCE     #include <errno.h> #include <fcntl.h> #include <grp.h> #include <sched.h> #include <signal.h> #include     <stdio.h> #include <stdlib.h> #include <string.h> #include <unistd.h> ---truncated--- (CVE-2026-99170)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
373270	Linux Distros 未修補弱點：CVE-2026-99170	Nessus	Misc.	2026/10/28	2026/11/2	high
373270	Linux Distros 未修补的漏洞：CVE-2026-99170	Nessus	Misc.	2026/10/28	2026/11/2	high
373270	Linux Distros のパッチ未適用の脆弱性: CVE-2026-99170	Nessus	Misc.	2026/10/28	2026/11/2	high
373270	Linux Distros Unpatched Vulnerability : CVE-2026-99170	Nessus	Misc.	2026/10/28	2026/11/2	high

偵測

搜尋 Plugin

high

high

high

high