Linux-Kernel: Schwachstelle im Mount-Namespace erlaubt Entfernen gesperrter Dateiabdeckung
Zusammenfassung
Eine Schwachstelle in der Mount-Behandlung des Linux-Kernels (fs/namespace.c) erlaubt einem lokalen Benutzer, der im eigenen User-Namespace Root ist, einen gesperrten Mount zu entfernen, etwa einen Bind-Mount, der eine Datei verdeckt. Dadurch kann der ursprüngliche Inhalt der verdeckten Datei lesbar werden. Für den Angriff sind ein lokales Konto mit niedrigen Rechten und die Möglichkeit zum Erstellen von User- und Mount-Namespaces nötig; eine Ausnutzung aus der Ferne ist nicht möglich.
Betroffen
- Linux-Kernel ab Commit c62a4766937edec2962d52e583276b459b739f2d (eingeführt in 7.1) bis vor den korrigierten Stable-Commits bd71d33923b9d6216bcee44331dd37142b0a8441 und 69fbe94f80bc423613fa18dae6656757423732a2
- Genaue betroffene Stable-Versionsnummern: Unbekannt.
Behoben in
- Korrigiert in den Stable-Commits 69fbe94f80bc423613fa18dae6656757423732a2 und bd71d33923b9d6216bcee44331dd37142b0a8441
- Korrigiert in Linux 7.2.13 und späteren 7.2.x-Versionen; laut CNA-Daten ab 7.3 nicht betroffen
- Korrigierte Versionsnummern auf anderen Stable-Zweigen: Unbekannt.
Umgehung
- Keine dokumentiert.
- Die Einschränkung unprivilegierter User-Namespaces kann die Exposition verringern, die Einstellung hängt jedoch von der Distribution ab und wurde für diese CVE nicht verifiziert.
Ausnutzung
- OffSeq meldet die CVE als nicht bekanntermassen ausgenutzt und nicht im CISA-KEV-Katalog.
- Der CVE-Text enthält einen Reproducer des Meldenden, daher ist faktisch ein öffentlicher Proof of Concept verfügbar.
- Keine Ausnutzung aus der Ferne möglich; ein lokaler Zugang mit niedrigen Rechten ist erforderlich.
Unsere Empfehlung
- Linux-Systeme mit mehreren lokalen Benutzern, CI-Runnern, Container- oder Build-Hosts und anderen Systemen, auf denen nicht vertrauenswürdige Benutzer eine Shell haben, inventarisieren.
- Sicherheitshinweise der eigenen Distribution prüfen und einen Kernel mit Korrektur installieren (Linux 7.2.13 oder neuer bzw. entsprechender Stable-Build).
- Unprivilegierte User-Namespaces dort einschränken, wo sie nicht benötigt werden.
- Nach dem Kernel-Update neu starten, damit die Korrektur wirksam wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Linux stable commit 69fbe94f80bc423613fa18dae6656757423732a2 git.kernel.org
- Linux stable commit bd71d33923b9d6216bcee44331dd37142b0a8441 git.kernel.org
- Ubuntu CVE-2026-99170 ubuntu.com
- OSV BELL-CVE-2026-99170 osv.dev
- OffSeq radar CVE-2026-99170 radar.offseq.com
- Strix CVE-2026-99170 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.