Linux Distros 未修补的漏洞：CVE-2026-89624
medium Nessus 插件 ID 345180
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- HID：universal-pidff：当强制反馈初始化失败时停止设备 universal_pidff_probe（） 使用 hid_hw_start（） 启动设备，然后，如果强制反馈初始化失败，则通过仅返回错误的标签返回错误。设备保持启动状态。HID 核心不会代表驱动程序展开。__hid_device_probe（） 释放 devres 群组、关闭报告并清除 hdev->driver： if （ret） { devres_release_group（&hdev->dev， hdev->devres_group_id）; hid_close_report（hdev）;
hdev->driver = NULL;} 通过 hid_connect（） 注册的 hid_hw_start（） 的 hidraw 字符设备使用 kzalloc（） 分配并添加了 cdev_device_add（），因此它不受 devres 管理并幸存下来。
对于 hdev->driver NULL，hid_device_remove（） 也会跳过 hid_hw_stop（），因为它只会在仍附加驱动程序时展开。因此，注册在两个路径上的寿命都超过设备的寿命。打开幸存的 /dev/hidrawX 写入已释放的内存。KASAN 报告来自 hidraw_open（） 的释放后使用写入
-> hid_hw_open（） ->传输的打开回调，其在已释放的对象中采用旋转锁。携带 PID 使用情况页面且没有输入报告的描述符就足够了：hidraw 声明设备，因此 hid_hw_start（） 成功，而 hid->inputs 保持空白，因此强制反馈 init 失败。其他失败会在 hid_pidff_init_with_quirks（） 中返回 - 无输出报告、分配失败、pidff_init_fields（）、pidff_check_autocenter（）、不可用的效果计数、input_ff_create（） - 都到达相同的标签。在该路径上停止设备。以相同的 HID_CONNECT_DEFAULT &; ~HID_CONNECT_FF 掩码启动设备的 hid-dr.c 和 hid-emsff.c 已执行此操作。两个较早的 goto 必须在没有 hid_hw_stop（） 的情况下继续返回，因为两者都没有启动设备，因此为启动后失败的路径提供自己的标签。由 XBOW 发现，由 Baul Lee <[email protected]> 分类 （CVE-2026-89624）
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Medium
ID: 345180
文件名: unpatched_CVE_2026_89624.nasl
版本: 1.1
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/9/12
最近更新时间: 2026/9/12
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Low
分数: 3
百分位: 23.62
CVSS v2
风险因素: Medium
基本分数: 6.6
时间分数: 5.6
矢量: CVSS2#AV:L/AC:L/Au:N/C:N/I:C/A:C
CVSS 分数来源: CVE-2026-89624
CVSS v3
风险因素: Medium
基本分数: 5.5
时间分数: 5.1
矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
漏洞信息
CPE: cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, p-cpe:/a:debian:debian_linux:linux
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/9/11
参考资料信息
CVE: CVE-2026-89624