Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：SCO：为套接字提供自己的sco_conn引用 sco_conn_del（） 丢弃它不拥有的引用。它通过 sco_conn_hold_unless_zero（） 获取一个瞬态引用，并使用 sco_sock_hold（） 后面的 sco_conn_put（） 将其释放;！sk 分支中的附加版本会发布第二个更新：
    conn = sco_conn_hold_unless_zero（conn）;...sk = sco_sock_hold（conn）;sco_conn_unlock（conn）;
    sco_conn_put（conn）;if （！sk） { sco_conn_put（conn）; return; }当 close（） 与控制器的 Disconnect Complete 争用时，sco_chan_del（） 会在运行 sco_conn_del（） 时清除 conn->sk 并丢弃套接字的引用。然后，sco_conn_del（） 看到 sk == NULL，其自身的放置将计数降至零并释放 conn，第二个放置写入已释放的 kref： 缺陷： KASAN：sco_conn_put.part.0+0x1a/0x190 中的 slab-use-after-free 通过任务 kworker/u17：3/413 在地址 ffff8881099dec74 处写入大小为 4 工作队列：hci1 hci_rx_work调用跟踪： sco_conn_put.part.0+0x1a/0x190 hci_disconn_complete_evt+0x1ee/0x3e0 hci_event_packet+0x54a/0x650 hci_rx_work+0x321/0x3d0 按任务 413 分配：sco_conn_add+0x72/0x1a0 sco_connect_cfm+0x88/0x670 由任务 413 释放：
    sco_conn_del.isra.0+0x3f/0xf0 hci_disconn_complete_evt+0x1ee/0x3e0 refcount_t：下溢;释放后使用。
    根本原因是套接字存储连接时不持有自己的引用。
    __sco_chan_add（） 执行：sco_pi（sk）->conn = conn;因此，套接字借用其调用者碰巧持有的任何引用，而调用者则通过临时持有和放置来覆盖它。请改为为套接字提供计数引用：__sco_chan_add（） 采用一个，它与通道 （sco_chan_del（）） 和 sco_sock_destruct（） 中一起释放。由于套接字保留了自己的引用，sco_conn_del（） 不再需要额外的放置，并且 sco_conn_ready（） 中的冗余保持消失了。使套接字拥有自己的引用意味着现在在 sco_connect（） 的错误路径上实际释放连接，其中曾经泄漏，而 sco_conn_free（） 及其 hci_conn_drop（conn->hcon）。为了保持hci_conn核算的平衡，还要明确该所有权：sco_conn_add（） 使用一个hci_conn引用，sco_conn在其生命周期内拥有它。sco_connect（） 移交 hci_connect_sco（） 返回的引用，不再将其丢弃在错误路径中;没有给出引用的 sco_connect_cfm（） 在将 hci_conn_hold（） 传递给 sco_conn_add（） 之前使用它（如果分配失败，则再次删除它）;并且删除了 sco_conn_ready（） 中的显式 hci_conn_hold（）。然后，每个参考都有一个明确的所有者。（CVE-2026-80683）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-80683

high Nessus 插件 ID 341917

版本 1.3