Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  -landlock修复断开连接的目录的处理断开的文件或目录可见并已从 bind 挂载打开但已被重命名或从 bind 挂载的源中移动从而无法从挂载点访问时可能出现该文件或目录 (即超出范围。以前与通过断开连接的目录打开的文件或目录相关联的访问权限是通过相关层次结构深入至文件系统的根来收集的而没有考虑挂载点因为无法找到挂载点。这可能导致不一致的访问结果、潜在的访问权限扩大和难以调试的重命名尤其是在无法打印此类路径的情况下。沙盒任务要创建断开连接的目录需拥有对绑定挂载的底层源的写入访问权限即 FS_MAKE_REG、FS_REMOVE_FILE 和 FS_REFER以及对相关挂载点的读取访问权限。由于沙盒任务无法获取比其 Landlock 域定义的访问权限更多的访问权限因此在继承此挂载点隐藏的文件系统层次的权限时可因缺少应从挂载点层次结构继承的权限而导致访问权限不一致代替。
    现在，Landlock 处理从断开连接的目录打开的文件和目录的方式是，在层次结构 walk 中未找到挂载点时，通过考虑文件系统层次，并且始终考虑打开这些断开连接的目录的挂载点。这可确保在会扩大访问权限时不允许重命名 [1]。基本原理是即使已中断连接的层次结构可能对沙盒任务不可见或不可访问但依赖于从中收集的访问权限可以更好地保证重命名期间访问权限不会因为源之间的访问权限比较而扩大和目标（请参阅 landlock_access_fs_refer）。这似乎会授予对断开连接的文件和目录的更多访问权限，但所有受评估的层次结构都会始终强制执行安全策略。此新行为应该不会令用户感到意外，而且从访问控制的角度而言更安全。删除 collect_domain_accesses() 中错误的 WARN_ON_ONCE() canary 并修复相关注释。由于已将打开的文件的访问权限存储在相关文件安全属性中因此对于断开连接或未链接的文件不会造成影响。
    (CVE-2025-68736)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-68736

medium Nessus 插件 ID 279801

版本 1.14