Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：gadget：f_fs：仅复制短 ep0 读取上接收到的字节 ffs_ep0_read（） 使用 kmalloc（）（而非 kzalloc）以来自设置数据包的长度值分配其控制 OUT 数据缓冲区，然后将该完整长度复制到用户空间，而不管实际收到的字节数为何：data = kmalloc（len， GFP_KERNEL）;...
    ret = __ffs_ep0_queue_wait（ffs， data， len）;if （（ret > 0） & （copy_to_user（buf， data， len））） ret =
    -EFAULT;__ffs_ep0_queue_wait（） 返回 req->actual，在短控制 OUT 传输中严格小于 len。copy_to_user（） 调用仍然会复制 len 字节，因此在短 OUT 时，kmalloc（） 缓冲区的最后一个 （len - ret） 字节（未初始化的 slab 残余）会传递到 FunctionFS 后台程序。
    短 ep0 OUT 完成是指定的 USB 控制传输行为，由树内 UDC 生成：* dwc2 继续执行 ep0 DATA OUT 的 req->actual < req->length（short-not-ok 是唯一的 ep0-OUT 停止路径）。* aspeed_udc在 ep->ep.maxpacket rx_len <结束 ep0 OUT。* renesas_usbf记录 ep0 短数据包并完成请求。* dwc3 在短 IN 上停止，但在短 OUT 上不会停止。因此，短 ep0 OUT 不是 UDC 损坏的证据;这是f_fs必须应对的正常情况。drivers/usb/gadget/legacy/inode.c 中的同级 gadgetfs 实现已通过 copy_to_user（） 之前的 min（len， dev->req->actual） 正确执行此操作。此修补程序将 f_fs.c 引入相同的安全模式，而不是在防御层进行裁剪。从 FunctionFS 设备节点访问该缺陷，在实际部署中，该节点由特权小工具后台程序（adbd、UMS、复合小工具服务等）拥有;无法从非特权用户空间访问。Linux 主机堆栈通常会在 short-wLength 控制 OUT 到达小工具之前将其拒绝，因此重现此缺陷需要绕过该主机端检查的版本。
    绕过到位后，64 字节安装程序上的 1 字节负载会在后台程序的读取缓冲区中产生 63 字节的非金丝雀碎片残余。通过仅将 ret（实际收到）字节复制到用户空间来修复。
    (CVE-2026-63895)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-63895

high Nessus 插件 ID 327918

版本 1.1