Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：hci_uart：修复关闭和初始化路径中的 UAF 和争用条件 在 hci_uart 的生命周期管理中观察到导致释放后使用 （UAF） 和空指针取消引用 （NPD） 情况的漏洞。产生主要问题是因为只有在 TTY 关闭期间设置了HCI_UART_PROTO_READY标记时，才会刷新/取消工作队列（init_ready和 write_work）。如果在设置完成之前发生挂起，hci_uart_tty_close（） 将跳过这些工作队列的拆卸并继续释放“hu”结构。当计划工作在稍后执行时，它会盲目地取消引用释放的“hu”结构。
    此外，在拆卸序列中发现了多个数据争用和 UAF：1. 在未有效禁用 write_work 的情况下从 hci_uart_close（） 调用 hci_uart_flush（） 会造成争用条件，其中两者可同时双重释放 hu->tx_skb。此漏洞发生的原因在于协议定时器可同时调用 hci_uart_tx_wakeup（） 并将write_work重新排队。2. 当供应商特定协议关闭回调取消引用 hu->hdev 时，在 hu->proto->close（hu） 之前调用 hci_free_dev（hdev） 会导致 UAF。3.
    在初始化错误路径中，未能在清除PROTO_READY之前采取proto_lock写锁定会导致与活动阅读器之间的争用。此外，hci_uart_tty_receive（） 访问读取锁定之外的 hu->hdev，如果初始化错误路径同时释放 hdev，则导致 UAF。通过以下方式修复这些同步和生命周期问题：1. 重新排序 hci_uart_tty_close（） 以首先清除HCI_UART_PROTO_READY，然后紧接着执行 cancel_work_sync（&hu->write_work）。清除此标记会锁定并发协议定时器无法成功调用 hci_uart_tx_wakeup（），从而有效地将取消永久化并防止tx_skb双重释放。2. 注意：提前清除PROTO_READY会导致 hci_uart_close（） 跳过 hu->proto->flush（）。这在tty_close路径中是完全安全的，因为 hu->proto->close（） 会在不久后执行，这实质上会清除所有协议 SKB 队列并去除状态。3. 在所有关闭和错误路径中，将 hu->proto->close（hu） 严格重新定位到 hci_free_dev（hdev） 之前，以防止供应商级 UAF。4. 将 hci_uart_tty_receive（） 中的 hdev->stat.byte_rx 增量移动到proto_lock读取端关键部分以安全地与设备注销同步。5. 将 cancel_work_sync（&hu->write_work） 添加到 hci_uart_close（），以在通过 HCI 核心调用 hci_uart_flush（） 前安全地刷新工作队列。6. 在所有路径中使用 cancel_work_sync（） 而不是 disable_work_sync（），以防止永久中断用户空间重试功能。
    (CVE-2026-46275)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-46275

high Nessus 插件 ID 319698

版本 1.26