Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/smc修复 当 tee() 复制拼接管道缓冲区 smc_rx_splice() 为每个 pipe_buffer 分配一个 smc_spd_priv 并将指针存储在 pipe_buffer.private 时smc_spd_priv 的双重释放。这些缓冲区的 pipe_buf_operations 使用的 .get = generic_pipe_buf_get仅在 tee(2) 复制管道缓冲区时才会增加页面引用计数。未处理 smc_spd_priv 指针本身因此在 tee() 之后原始和克隆的 pipe_buffer 共享相同的 smc_spd_priv *。如果随后同时释放这两个管道则会针对同一对象调用两次 smc_rx_pipe_buf_release() 第一次调用
    kfree(priv) sock_put(sk) smc_rx_update_cons() [correct] 第 2 次调用 kfree(priv) sock_put(sk) smc_rx_update_cons() [UAF] KASAN 报告 smc_rx_pipe_buf_release() 中存在 slab 释放后使用然后将其升级到在追踪释放的 priv->smc 指针时通过 smc_rx_update_consumer() 发现了一个空指针取消引用和内核错误缺陷KASAN由任务 smc_splice_tee_ 执行的 smc_rx_pipe_buf_release+0x78/0x2a0 中在地址 ffff888004a45740 中大小为 8 的 8 读取的 slab-use-after-free /74 Call Trace: <TASK> dump_stack_lvl+0x53/0x70 print_report+0xce/0x650 kasan_report+0xc6/0x100 smc_rx_pipe_buf_release+0x78/0x2a0 free_pipe_info+0xd4/0x130 pipe_release+0x142/0x160 __fput+0x1c6/0x490 __x64_sys_close+0x4f/0x90 do_syscall_64+0xa6 /0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> BUG: kernel NULL pointer dereference, address: 0000000000000020 RIP: 0010:smc_rx_update_consumer+0x8d/0x350 Call Trace: <TASK> smc_rx_pipe_buf_release+0x121/0x2a0 free_pipe_info+0xd4/0x130 pipe_release+0x142/0x160 __fput+ 0x1c6/0x490
    __x64_sys_close+0x4f/0x90 do_syscall_64+0xa6/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> 内核错误 - 不同步致命异常 除内存安全问题外复制 SMC splice 缓冲区在语义上有问题smc_rx_update_cons() 可使使用者光标前进两次对于相同的数据损坏接收窗口核算。smc_spd_priv 上的 refcount 可修复双重释放但仍需要单独解决光标计数问题。.get 回调由 tee(2) 和 splice_pipe_to_pipe() 调用进行部分传输两者现在都将返回 -EFAULT。需要复制 SMC 套接字数据的用户必须使用基于副本的读取路径。 (CVE-2026-31507)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-31507

high Nessus 插件 ID 309798

版本 1.21