Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  -landlock切断されたディレクトリの処理を修正します接続されていないファイルまたはディレクトリが表示され、bind mount から開かれたときに表示されることがありますが、マウントポイントからアクセスできないようにする方法で、bind mount のソースから移動されています。範囲外) を含めることができます。以前は、切断されたディレクトリを通して開かれたファイルまたはディレクトリに関連付けられたアクセス権は、関連する階層をファイルシステムの root までウォークすることにより収集されていました。この際、マウントポイントが考慮されませんでした。見つからないために、マウントポイントが考慮されませんでした。これによって、特にこのようなパスを印刷できないため、一貫性のないアクセス結果、アクセス権の拡大、デバッグ困難な名前の変更が発生する可能性があります。切断されたディレクトリを作成するサンドボックスタスクの場合、bind マウントの基盤となるソースへの書き込みアクセスすなわち FS_MAKE_REG、FS_REMOVE_FILE、および FS_REFER、ならびに関連するマウントポイントへの読み取りアクセスが必要です。サンドボックス化されたタスクは、その Landlock ドメインで定義されたもの以上のアクセス権を取得できないため、マウントポイント階層から継承されるべき権限が欠落していることによるアクセス権の矛盾が生じる可能性があります。その一方で、このマウントポイントにより隠されているファイルシステム階層から権限を継承しています。代わりに。
    Landlock は、マウントポイントが階層ウォークで見つからない場合、ファイルシステム階層を考慮し、また切断されたディレクトリが開かれたマウントポイントも常に考慮することで、切断されたディレクトリから開かれたファイルおよびディレクトリを処理するようになりました。これは、アクセス権を拡大する場合には、名前変更は許可されないようにします [1]。合理化されていない階層は、サンドボックス化されたタスクに表示されない、またはアクセスできない可能性がある場合でも、それらから収集されたアクセス権に依存することで、ソース間のアクセス権の比較により、名前変更時にアクセス権が拡大されない保証を改善できるということです。および宛先 (LANDLOCK_ACCESS_FS_REFER を参照)。これにより、切断されたファイルやディレクトリにより多くのアクセスが許可されるように見える可能性がありますが、セキュリティポリシーはすべての評価階層に常に適用されます。この新しい動作はユーザーにとってそれほど脅威ではありませんが、アクセス制御の観点から見ると、より安全です。collect_domain_accesses() 内の誤った WARN_ON_ONCE() キャナリを削除し、関連するコメントを修正します。開かれたファイルには関連するファイルセキュリティプロパティに保存されたアクセス権があるため、切断されたファイルやリンクされていないファイルへの影響はありません。
    (CVE-2025-68736)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-68736

medium Nessus プラグイン ID 279801

バージョン 1.16