Linux-Kernel: Gesperrter Mount kann ablaufen und verborgene Dateien offenlegen
Zusammenfassung
Ein Fehler in der Mount-Verarbeitung des Linux-Kernels erlaubt einem lokalen Benutzer mit niedrigen Berechtigungen, Dateien und Verzeichnisse offenzulegen, die ein gesperrter Mount verbergen soll. Ein Mount kann gesperrt werden, wenn der Besitzer eines User Namespace ihn unterhalb eines gesperrten Mounts verschiebt; der Kernel erlaubt dann, dass der untere Mount zuerst abläuft. Ausnutzung setzt lokale Codeausführung voraus, daher besteht das Risiko vor allem auf gemeinsam genutzten Linux-, Container- und CI-Hosts.
Betroffen
- Linux-Kernel ab Commit 5ff9d8a65ce8 bis zu den Fix-Commits (CNA-Bereich)
- Gemäss OSV: eingeführt in 3.12.0, behoben in 6.18.57 und 7.2.11
- Unbekannt: genaue betroffene Versionen in Distributions-Kerneln; der CNA-Eintrag für 3.12 konnte nicht verifiziert werden
Behoben in
- Linux-Kernel 6.18.57 und 7.2.11 (Stable-Zweige, gemäss OSV und CNA)
- Unbekannt: behobene Mainline-Version und Kernel-Versionen der Distributionen; Advisory der eigenen Distribution prüfen
- Sicherstellen, dass der gepatchte Kernel auch den Folgefix für CVE-2026-99170 enthält
Umgehung
- Unbekannt: kein Workaround des Herstellers gefunden; die Behebung ist ein Kernel-Update
- Übergangsmassnahme: unprivilegierte User Namespaces einschränken, wo die Workloads dies zulassen; vorab testen, da Browser und Container davon abhängen können
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof of Concept gefunden; kein KEV-Eintrag gefunden
- EPSS 0.0017 bei der letzten Auswertung
Unsere Empfehlung
- Linux-Hosts nach Distribution und Kernel-Version inventarisieren
- Das Kernel-Update der Distribution nach Veröffentlichung einspielen und prüfen, ob der Folgefix enthalten ist
- Mehrbenutzer-, Container- und CI-Hosts priorisieren
- Herstellerhinweise auf korrigierte Fix-Versionen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Kernel stable commit 6b8dc3713a76 git.kernel.org
- Kernel stable commit d23265a12e49 git.kernel.org
- Kernel stable commit f78ddcc87224 git.kernel.org
- Ubuntu CVE tracker ubuntu.com
- OSV advisory (Vulners) vulners.com
- NVD record (Vulners) vulners.com
- Strix CVE-2026-98978 analysis www.strix.ai
- Strix CVE-2026-99170 follow-up www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.