Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - landlock：白白创建需要LANDLOCK_ACCESS_FS_MAKE_REG OverlayFS 的上层使用 Whiteout 对象，来指示统一视图中不存在此名称的文件，即使该文件存在于较低层文件系统之一亦然。对于 OverlayFS （fuse-overlayfs） 的用户空间实现，也可以从用户空间创建 whiteout 对象：* mknod（2） 带 S_IFCHR 和 makedev（0， 0） * renameat2（2） 带 RENAME_WHITEOUT，在移动文件的旧位置创建白茫茫。此提交可使用 LANDLOCK_ACCESS_FS_MAKE_REG保护上述两种情况下的白出创建。
    whiteout 对象 *不* 被视为字符设备，且未绑定至驱动程序。
    LANDLOCK_ACCESS_FS_MAKE_REG 描述了与 whiteout 对象相同的权限类：创建一个是 VFS 免除CAP_MKNOD的唯一S_IFCHR创建，因此它与创建常规文件一样无权限，而 LANDLOCK_ACCESS_FS_MAKE_CHAR 和 LANDLOCK_ACCESS_FS_MAKE_BLOCK 仍然意味着创建暴露内核接口的设备 [1]。对于 mknod（2） 情况，引入 Landlock 勘误表。以前使用 LANDLOCK_ACCESS_FS_MAKE_CHAR 保护通过 mknod（2） 创建 whiteout 对象，现在使用 LANDLOCK_ACCESS_FS_MAKE_REG 保护。对于 renameat2（2） 情况，修复一个缺陷：在此提交之前，包含RENAME_WHITEOUT的 renameat2（2） 将创建一个目录条目，即使所有 LANDLOCK_ACCESS_FS_MAKE_* 权限都被拒绝也是如此。这不影响分层 OverlayFS 挂载内的正常重命名：在挂载的 fuse-overlayfs 上执行常规 rename（） 时，采用RENAME_WHITEOUT执行 renameat2（） 的是 fuse-overlayfs 后台程序，并且仅检查该后台程序的 Landlock 域。
    取决于：49c9e09d9610（landlock：修复对断开连接的目录的处理） depends-on：fe72ce6710cb（landlock：添加勘误表文档部分）[mic：记录 LANDLOCK_ACCESS_FS_MAKE_REG 为匹配权限的原因，并将 link（2） 添加到用户文档] （CVE-2026-89560）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-89560

high Nessus 插件 ID 345444

版本 1.1