Linux Kernel: Use-after-free in der Overmount-Behandlung von Mount-Namespaces
Zusammenfassung
Ein Fehler im Mount-Subsystem des Linux-Kernels hinterlässt einen veralteten Overmount-Zeiger, wenn ein Mount unter einen neuen Parent verschoben wird. Ein lokaler Benutzer mit niedrigen Privilegien, beispielsweise auf einem gemeinsam genutzten Host oder innerhalb eines Containers, kann über Mount-Operationen ein Use-after-free auslösen. Die CNA stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein (CVSS 3.1: 7.8). Es ist keine Benutzerinteraktion nötig, der Angreifer benötigt aber ein lokales Konto.
Betroffen
- Linux-Kernel-Zweig 6.17
- Linux-Kernel-Zweig 6.18 vor 6.18.57
- Linux-Kernel-Zweig 6.19 bis zur korrigierten Version (Version unbekannt)
- Die betroffenen Bereiche unterscheiden sich zwischen CNA-Daten, OSV und Distributionsangaben; bitte anhand der kernel.org-Commits prüfen.
Behoben in
- Linux-Kernel 6.18.57 und 7.2.11 (gemäss OSV)
- Upstream-Commits 08d575ee89393fd812dbdca7b5d7b4574cd5a564, 476ef286a7a5db8bda51325dc0c45887b4d99d9a und 5e0a1f2c753a79749bc2ead3ae2f2ede3941daa5
- Korrigierte Pakete der Distributionen: Unbekannt.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Die Einschränkung unprivilegierter User-Namespaces könnte die Exposition verringern. Dies ist nicht getestet und nicht verifiziert, ob der verwundbare Pfad damit blockiert wird.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gemeldet.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS: 0.00161 (sehr niedrig).
Unsere Empfehlung
- Kernel-Versionen auf allen Linux-Hosts prüfen und das Kernel-Update der Distribution einspielen, sobald es verfügbar ist.
- Mehrbenutzer-, Container-, CI-Runner- und Jump-Hosts priorisieren.
- Die Tracker von Ubuntu, Red Hat, SUSE und Debian auf korrigierte Pakete beobachten.
- Einbenutzer-Server und Arbeitsstationen: Die Korrektur im regulären Kernel-Update-Zyklus einplanen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Upstream commit 08d575ee89393fd812dbdca7b5d7b4574cd5a564 git.kernel.org
- Upstream commit 476ef286a7a5db8bda51325dc0c45887b4d99d9a git.kernel.org
- Upstream commit 5e0a1f2c753a79749bc2ead3ae2f2ede3941daa5 git.kernel.org
- NVD entry CVE-2026-98995 vulners.com
- Ubuntu security notice CVE-2026-98995 ubuntu.com
- SUSE CVE entry CVE-2026-98995 vulners.com
- OSV Alpaquita entry BELL-CVE-2026-98995 osv.dev
- Linux kernel mount vfs pull request 2720 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.