Vulnerabilidad en kernel de Linux (CVE-2025-38499)

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: clone_private_mnt(): asegurar que el llamador tenga CAP_SYS_ADMIN en los usuarios correctos. Lo que queremos es verificar que clone no exponga algo oculto por un montaje que no podamos deshacer. "No se puede deshacer" puede ser el resultado de MNT_LOCKED en un hijo, pero también puede provenir de la falta de derechos de administrador en los usuarios del espacio de nombres al que pertenece el montaje. clone_private_mnt() comprueba lo primero, pero no lo segundo. Hay varias comprobaciones de CAP_SYS_ADMIN bastante confusas en varios usuarios durante el montaje, especialmente con la nueva API de montaje; tienen diferentes propósitos y, en el caso de clone_private_mnt(), generalmente, aunque no siempre, cubren la comprobación faltante mencionada anteriormente.