Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 命名空間：在分離 dentry 上的掛載之前取消雜湊 unlink（）、rmdir（） 和 rename（） 從檔案系統中刪除項目，在鎖定 inode 的項目上呼叫 detach_mounts（），然後在 inode 解鎖後呼叫 d_delete（）。問題是，在 detach_mounts（） 和 d_delete（） 之間，dentry 仍然是雜湊的和正的。但在 detach_mounts（） 之後，就不再涵蓋 dentry 了。在 dcache 中找到此 dentry 的查詢可以發現掛載隱藏的內容。當取消連結其他掛載命名空間中作為掛載點的檔案或目錄時，這是一個問題。每個涵蓋基礎項目的人都可以爭用 detach_mount（） 呼叫，直到 d_delete（） 執行為止。比賽窗口並不是那麼小。它包含具有完整 synchronize_rcu_expedited（） 寬限期的 namespace_unlock（） 和項目的 inode_unlock（）。在我的實驗中，三個不斷嘗試的步行者在 11938 年讀取了 16140 個取消鏈接的過度安裝文件，該鏈接在一分鐘內從文件系統的綁定掛載中刪除了其掛載點。有趣的是，d_invalidate（） 有相同的排序問題，但做對了。它會先解除 dentry 雜湊，然後分離坐騎。讓我們在 __detach_mounts（） 中做同樣的事情： - 尚未找到 dentry 的查詢會在 dcache 中遺漏它，並等待調用方持有的目錄鎖定，直到名稱永久消失。- 發現已未通過 mount_lock 檢查的無鎖定查詢，而 dentry 仍算作掛載點，一旦不計作裝載點，就會進行d_seq檢查，然後重試。這會修正無鎖定路徑。我們仍然需要在後續修補程式中修正參照計數查詢。所以 d_drop（） 門哨。dentry 保持積極並被持有，但再也找不到了。然後繼續分離並取消連結。重現：讀取是使用以下程式計算的，在具有 4 個 CPU 的 VM 中，三個步行器持續 60 秒。爭用視窗會透過此處貼上的除錯修補程式而延長。fs.detach_race_walk_us 一旦找到掛載點 dentry 並且在其安裝被交叉之前，它就會在 lookup_fast（） 中休眠。fs.detach_race_unlink_us 休眠於 detach_mounts（） 和 d_delete（） 之間的 vfs_unlink（） 中。spdx-license-identifier： GPL-2.0 /* * unlink_covered：取消連結屬於 * 其掛載的分離副本中的掛載點檔案，以對抗透過該副本開啟該檔案的查詢。 * * A 是一個 tmpfs，其檔案為 f1 （內容SECRET_F） 和純檔案 * MARK_A。A' 是 A 的 open_tree（OPEN_TREE_CLONE） 副本，在 A'/f1 上綁定了 MARK_A，一旦樹狀結構 fd 被 * 關閉，就通過其根上的 O_PATH fd 保持。步行者通過該 fd 打開 f1，而駕駛員則取消鏈接 A/f1，* 上面沒有安裝任何東西。步行者可能會閱讀MARK_A或獲得 ENOENT。* 讀取 SECRET_F 很受歡迎：該名稱是在其坐騎 * 消失後找到的。無鎖步道使用 openat2（RESOLVE_CACHED）。* * 用法：
    unlink_covered [-t seconds] [-w walkers] */ #ifndef _GNU_SOURCE #define _GNU_SOURCE #endif #include <errno.h> #include <fcntl.h> #include <pthread.h> #include <stdatomic.h> #include #include <stdio.h><stdlib.h> #include <string.h> #include <unistd.h> #include < sys/mount.h> #include <sys/stat.h> #include <sys/syscall.h> #include <linux/openat2.h> #ifndef __NR_open_tree #define __NR_open_tree 428 #endif #ifndef __NR_move_mount #define __NR_move_mount 429 #endif #ifndef __NR_openat2 #define __NR_openat2 437 #endif #ifndefOPEN_TREE_CLONE #define OPEN_TREE_CLONE 1 #endif #ifndef OPEN_TREE_CLOEXEC #define OPEN_TREE_CLOEXEC O_CLOEXEC #endif #ifndef MOVE_MOUNT_F_EMPTY_PATH #define MOVE_MOUNT_F_EMPTY_PATH 0x00000004 #endif #define WORK /tmp/uc #define ADIR WORK /A static int duration = 60， nwalkers = 3;
    靜態atomic_int停止，writer_waiting;靜態pthread_rwlock_t cur_lock = PTHREAD_RWLOCK_INITIALIZER;
    靜態 int cur_fd = -1;/* A' 的根，-1 wh ---truncated--- （CVE-2026-98981）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - namespace：在分离 dentry 上的挂载之前先对其进行反哈希 unlink（）、rmdir（） 和 rename（） 从文件系统中删除该条目，在锁定了 inode 的条目上调用 detach_mounts（），然后在解锁 inode 后调用 d_delete（）。问题是，在 detach_mounts（） 和 d_delete（） 之间，dentry 仍然是哈希的和正的。但在 detach_mounts（） 之后，就没有任何东西覆盖了 dentry。在 dcache 中找到此 dentry 的查找可发现挂载隐藏的内容。断开作为其他挂载命名空间中挂载点的文件或目录的链接时，这是一个问题。覆盖了底层条目的每个人都可以争用 detach_mount（） 调用，直到 d_delete（） 运行。比赛窗口并不是那么小。它包含具有完整 synchronize_rcu_expedited（） 宽限期的 namespace_unlock（） 和条目的 inode_unlock（）。在我的实验中，三个不断尝试的步行者在 11938 中读取了 16140 个取消链接中的一个过度挂载的文件，这些取消链接在一分钟内将其挂载点从文件系统的绑定挂载中删除。有趣的是，d_invalidate（） 有相同的排序问题，但做对了。它首先反哈希 dentry，然后分离挂载。让我们在 __detach_mounts（） 中做同样的事情： - 尚未找到 dentry 的查找会在 dcache 中缺失它，并等待调用程序持有的目录锁，直到名称永远消失。- 发现其已通过mount_lock检查的无锁查找，而 dentry 仍算作挂载点，一旦不算作挂载点，便会进行d_seq检查，然后重试。这修复了无锁路径。我们仍然需要在后续修补程序中修复引用计数查找。所以 d_drop（） dentry。dentry 保持阳性并被持有，但再也找不到了。然后继续进行分离和取消链接。重现程序：读取次数使用以下程序进行计数，在具有 4 个 CPU 的 VM 中，三个遍历器持续 60 秒。通过在此处粘贴的调试修补程序，争用窗口将被拉伸。fs.detach_race_walk_us 在找到挂载点 dentry 时及交叉其挂载之前，会在 lookup_fast（） 中休眠。fs.detach_race_unlink_us 在 detach_mounts（） 与 d_delete（） 之间的 vfs_unlink（） 中休眠。spdx-license-identifier：GPL-2.0 /* * unlink_covered：针对通过该副本打开该文件的查找，取消作为挂载点的文件的链接 * 其挂载。 * * A 是包含文件 f1（内容SECRET_F）和普通文件 * MARK_A的 tmpfs。A' 是 A 的 open_tree（OPEN_TREE_CLONE） 副本，MARK_A在 A'/f1 上绑定为 *，一旦树 fd 被 * 关闭，通过其根上的 O_PATH fd 保持。遍历器通过该 fd 打开 f1，而驱动程序则取消链接 A/f1，*其上未挂载任何内容。步行者可能会阅读MARK_A或获得 ENOENT。* 读取 SECRET_F 很成功：在其挂载 * 消失后找到该名称。无锁遍历使用 openat2（RESOLVE_CACHED）。* * 用法：
    unlink_covered [-t seconds] [-w walkers] */ #ifndef _GNU_SOURCE #define _GNU_SOURCE #endif #include <errno.h> #include #include <fcntl.h> #include <stdatomic.h><pthread.h> #include <stdio.h> #include <stdlib.h> #include <string.h> #include <unistd.h> #include < sys/mount.h> #include <sys/stat.h> #include <sys/syscall.h> #include <linux/openat2.h> #ifndef __NR_open_tree #define __NR_open_tree 428 #endif #ifndef __NR_move_mount #define __NR_move_mount 429 #endif #ifndef __NR_openat2 #define __NR_openat2 437 #endif #ifndefOPEN_TREE_CLONE #define OPEN_TREE_CLONE 1 #endif #ifndef OPEN_TREE_CLOEXEC #define OPEN_TREE_CLOEXEC O_CLOEXEC #endif #ifndef MOVE_MOUNT_F_EMPTY_PATH #define MOVE_MOUNT_F_EMPTY_PATH 0x00000004 #endif #define WORK /tmp/uc #define ADIR WORK /A 静态 int 持续时间 = 60，nwalkers = 3;
    静态atomic_int停止，writer_waiting;静态pthread_rwlock_t cur_lock = PTHREAD_RWLOCK_INITIALIZER;
    静态 int cur_fd = -1;/* A' 的词根，-1 wh ---truncated--- （CVE-2026-98981）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - namespace:dentry のマウントをデタッチする前に dentry のハッシュ化を解除します unlink()、rmdir()、rename() は、ファイルシステムからエントリを削除し、inode がロックされた状態でエントリで detach_mounts() を呼び出し、inode がアンロックされたら d_delete() を呼び出します。問題は、detach_mounts()とd_delete()の間でdentryはまだハッシュされ、正であるということです。しかし、detach_mounts()の後は、もはや何もdentryをカバーしません。dcache のこの dentry を見つけた検索によって、マウントが隠していたものが明らかになる可能性があります。これは、他のマウント名前空間のマウントポイントであるファイルまたはディレクトリのリンクを解除するときに問題になります。基礎となるエントリをカバーしたすべてのユーザーは、d_delete() が実行されるまで detach_mount() 呼び出しを競合できます。レースウィンドウはそれほど小さくありません。これには、完全な synchronize_rcu_expedited() 猶予期間のある namespace_unlock() とエントリの inode_unlock() が含まれます。私の実験では、16140のうちの11938でオーバーマウントされたファイルを読み取ろうとし続けた3つのウォーカーが、1分以内にファイルシステムのbindマウントからマウントポイントを削除したリンクを解除しました。面白いことに、d_invalidate()には同じ順序の問題がありますが、正しく理解されています。最初に dentry のハッシュ化を解除し、その後でマウントをデタッチします。__detach_mounts() でも同じことをしましょう: - dentry がまだ見つからない検索は、dcache でそれを見逃し、呼び出し元が保持するディレクトリロックを名前が永久になくなるまで待機します。- すでに mount_lock チェックに失敗していることが判明したロックレス検索は、dentry が依然としてマウントポイントとしてカウントされ、d_seq チェックが行われないとカウントされなくなったら再試行します。これは、ロックレスパスを修正します。フォローアップパッチで参照カウント検索を修正する必要があります。だからd_drop()dentry。dentry は陽性のままで保持されますが、もう見つかりません。続いて、デタッチに進み、リンクを解除します。リプロデューサー:読み取りは以下のプログラムでカウントされ、4つのCPUを搭載したVMで60秒間3つのウォーカーが計算されました。競合ウィンドウは、ここに貼り付けられたデバッグパッチで引き伸ばされます。fs.detach_race_walk_us は、一度マウントポイント dentry を検出し、そのマウントがクロスされる前に、lookup_fast() でスリープ状態になります。fs.detach_race_unlink_us は、detach_mounts() と d_delete() の間の vfs_unlink() でスリープ状態になります。spdx-license-identifier:GPL-2.0 /* * unlink_covered:* そのマウントのデタッチされたコピーのマウントポイントであるファイルを、そのコピーを通して開かれる検索に対して、リンクを解除します。 * * A は、ファイル f1(コンテンツ SECRET_F)とプレーンファイル * MARK_A を含む tmpfs です。A' は、A'/f1 に MARK_A がバインドされた A の open_tree(OPEN_TREE_CLONE)コピーであり、ツリー fd が * 閉じると、そのルートの O_PATH fd を通じて保持されます。ウォーカーは、その fd を通して f1 を開きますが、ドライバーは A/f1、* のリンクを解除します。歩行者はMARK_Aを読んだり、ENOENTになったりすることがあります。* SECRET_F の読み取りがヒットします:マウントが * なくなった後に名前が見つかりました。ロックレスウォークは openat2(RESOLVE_CACHED) を使用します。* * 使用法:
    unlink_covered [-t 秒] [-w ウォーカー] */ #ifndef _GNU_SOURCE #define _GNU_SOURCE #endif #include <errno.h> #include <fcntl.h> #include <pthread.h> #include <stdatomic.h> #include <stdio.h> #include <stdlib.h> #include <string.h> #include <unistd.h> #include < sys/mount.h> #include <sys/stat.h> #include <sys/syscall.h> #include <linux/openat2.h> #ifndef __NR_open_tree #define __NR_open_tree 428 #endif #ifndef __NR_move_mount #define __NR_move_mount 429 #endif #ifndef __NR_openat2 #define __NR_openat2 437 #endif #ifndefOPEN_TREE_CLONE #define OPEN_TREE_CLONE 1 #endif #ifndef OPEN_TREE_CLOEXEC #define OPEN_TREE_CLOEXEC O_CLOEXEC #endif #ifndef MOVE_MOUNT_F_EMPTY_PATH #define MOVE_MOUNT_F_EMPTY_PATH 0x00000004 #endif #define WORK /tmp/uc #define ADIR WORK /A 静的整数期間 = 60、nwalkers = 3;
    静的atomic_int停止、writer_waiting;静的pthread_rwlock_t cur_lock = PTHREAD_RWLOCK_INITIALIZER;
    静的整数 cur_fd = -1;/* A' の根、-1 wh ---truncated--- (CVE-2026-98981)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - namespace: unhash a dentry before detaching the mounts on it unlink(), rmdir() and rename() remove the     entry from the filesystem, call detach_mounts() on the entry with the inode locked and then call     d_delete() once the inode is unlocked. The thing is that between detach_mounts() and d_delete() the dentry     is still hashed and positive. But after detach_mounts() nothing covers the dentry anymore. A lookup that     finds this dentry in the dcache can uncover what the mounts hid. That's a problem when unlinking files or     directories that are mountpoints in other mount namespaces. Everybody who had the underlying entry covered     can race the detach_mount() call until d_delete() has run. The race window isn't all that small. It     encompasses namespace_unlock() with a full synchronize_rcu_expedited() grace period and the inode_unlock()     of the entry. In my experiments three walkers that kept trying read an overmounted file in 11938 of the     16140 unlinks that removed its mountpoint from a bind mount of the filesystem within a minute. Fun fact,     d_invalidate() has the same ordering problem but gets it right. It unhashes the dentry first and detaches     the mounts afterwards. Let's do the same in __detach_mounts(): - A lookup that hasn't found the dentry yet     misses it in the dcache and waits for the directory lock that the caller holds until the name is gone for     good. - A lockless lookup that found it already fails the mount_lock check while the dentry still counts     as a mountpoint and the d_seq check once it doesn't, and retries. This fixes the lockless path. We still     need to fix the reference count lookup in a follow-up patch. So d_drop() the dentry. The dentry stays     positive and held but can't be found anymore. Then proceed with the detach and unlink. Reproducer: The     reads were counted with the program below, three walkers for 60 s in a VM with 4 CPUs. The race window is     stretched with the debug patch pasted here. fs.detach_race_walk_us sleeps in lookup_fast() once it found a     mountpoint dentry and before its mounts are crossed. fs.detach_race_unlink_us sleeps in vfs_unlink()     between detach_mounts() and d_delete(). // SPDX-License-Identifier: GPL-2.0 /* * unlink_covered: unlink a     file that is a mountpoint in a detached copy of * its mount, against lookups that open it through that     copy. * * A is a tmpfs with the file f1 (content SECRET_F) and the plain file * MARK_A. A' is an     open_tree(OPEN_TREE_CLONE) copy of A with MARK_A bound * on A'/f1, held through an O_PATH fd on its root     once the tree fd is * closed. Walkers open f1 through that fd while the driver unlinks A/f1, * where     nothing is mounted on it. A walker may read MARK_A or get ENOENT. * A read of SECRET_F is a hit: the name     was found after its mount was * gone. The lockless walks use openat2(RESOLVE_CACHED). * * usage:
    unlink_covered [-t seconds] [-w walkers] */ #ifndef _GNU_SOURCE #define _GNU_SOURCE #endif #include     <errno.h> #include <fcntl.h> #include <pthread.h> #include <stdatomic.h> #include <stdio.h> #include     <stdlib.h> #include <string.h> #include <unistd.h> #include <sys/mount.h> #include <sys/stat.h> #include     <sys/syscall.h> #include <linux/openat2.h> #ifndef __NR_open_tree #define __NR_open_tree 428 #endif     #ifndef __NR_move_mount #define __NR_move_mount 429 #endif #ifndef __NR_openat2 #define __NR_openat2 437     #endif #ifndef OPEN_TREE_CLONE #define OPEN_TREE_CLONE 1 #endif #ifndef OPEN_TREE_CLOEXEC #define     OPEN_TREE_CLOEXEC O_CLOEXEC #endif #ifndef MOVE_MOUNT_F_EMPTY_PATH #define MOVE_MOUNT_F_EMPTY_PATH     0x00000004 #endif #define WORK /tmp/uc #define ADIR WORK /A static int duration = 60, nwalkers = 3;
    static atomic_int stop, writer_waiting; static pthread_rwlock_t cur_lock = PTHREAD_RWLOCK_INITIALIZER;
    static int cur_fd = -1; /* the root of A', -1 wh ---truncated--- (CVE-2026-98981)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
371592	Linux Distros 未修補弱點：CVE-2026-98981	Nessus	Misc.	2026/10/23	2026/11/9	high
371592	Linux Distros 未修补的漏洞：CVE-2026-98981	Nessus	Misc.	2026/10/23	2026/11/9	high
371592	Linux Distros のパッチ未適用の脆弱性: CVE-2026-98981	Nessus	Misc.	2026/10/23	2026/11/9	high
377900	Amazon Linux 2023 : bpftool6.12, kernel6.12, kernel6.12-devel (ALAS2023-2026-3402)	Nessus	Amazon Linux Local Security Checks	2026/11/9	2026/11/9	high
371592	Linux Distros Unpatched Vulnerability : CVE-2026-98981	Nessus	Misc.	2026/10/23	2026/11/9	high

検出

プラグインの検索

high

high

high

high

high