Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usbip：验证 usbip_pack_ret_submit() 中的 number_of_packets。当 USB/IP 客户端收到 RET_SUBMIT 响应时，usbip_pack_ret_submit() 会从网络 PDU 无条件覆盖 urb->number_of_packets。
    随后，此值会被用作 usbip_recv_iso() 和 usbip_pad_iso() 中的循环边界，以遍历 urb->iso_frame_desc[]（这是一个灵活数组，其大小在 URB 分配时根据
    CMD_SUBMIT 中的*原始* number_of_packets 固定）。恶意 USB/IP 服务器可在响应中将 number_of_packets 设置为大于最初提交的值，从而在 usbip_recv_iso() 写入分配区域之外的 urb->iso_frame_desc[i] 时，造成堆越界写入。KASAN 在内核 7.0.0-rc5 上确认了此问题：缺陷：KASAN：usbip_recv_iso+0x46a/0x640 中存在 slab-out-of-bound；任务 vhci_rx/69 在地址 ffff888106351d40 写入的大小为 4；这个有问题的地址位于已分配 320 字节区域（ffff888106351c00、ffff888106351d40）的右侧 0 字节除；自提交 c6688ef9f297（usbip：
    修复 stub_rx：强化 CMD_SUBMIT 路径以处理恶意输入）和 b78d830f0049（usbip： 修复 vudc_rx：
    对 CMD_SUBMIT 路径进行强化以处理恶意输入）以来，服务端（stub_rx.c）和 gadget 端（vudc_rx.c）已经在 CMD_SUBMIT 路径中对 number_of_packets 进行了验证。服务器端会根据 USBIP_MAX_ISO_PACKETS 进行验证，因为此时不存在 URB。客户端上有原始 URB，因此我们可以使用更小的边界：响应不得超过原始 number_of_packets。这与在 usbip_recv_xbuff() 中根据 transfer_buffer_length 对 actual_length 进行现有验证的方式一致，用于将响应值与原始分配大小进行对比。Kelvin Mbogo 的系列（usb: usbip：
    修复 usbip_recv_iso() 中的整数溢出，v2）可强化接收端函数本身；该补丁对上述工作进行了补充：它在错误值的源头（即覆盖操作发生之前的 usbip_pack_ret_submit() 函数中）捕获该值，并采用更严格的、基于每个 URB 的分配边界，而非全局的 USBIP_MAX_ISO_PACKETS 限制。在覆盖前，通过根据 usbip_pack_ret_submit() 中的 urb->number_of_packets 检查 rpdu->number_of_packets 来修复此问题。违规时固定为零，以便 usbip_recv_iso() 和 usbip_pad_iso() 及早安全返回。(CVE-2026-31607)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-31607

critical Nessus 插件 ID 310328

版本 1.7