Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - btrfs：修复 insert_dirty_subvol（） 中发生错误后重定位根中的释放后使用 如果在重定位期间由于 btrfs_update_reloc_root（） 返回错误而导致 insert_dirty_subvol（） 失败，我们将保留根的reloc_root字段指向已释放的重定位根，而不是 NULL，从而导致稍后在卸载期间发生释放后使用或双重释放尝试。步骤的顺序是这样的：1） 在重定位期间，对 insert_dirty_subvol（） 中的 btrfs_update_reloc_root（） 的调用失败，因此 insert_dirty_subvol（） 将错误返回给 merge_reloc_root（），而不将根添加到列表 rc->dirty_subvol_roots;2） 然后 merge_reloc_root（） 中止当前事务，因为 insert_dirty_subvol（） 返回错误;3） 在调用链的上游，merge_reloc_roots（） 得到错误，将根 X 的 reloc 根添加到本地reloc_roots列表并跳转到“out”标签，在其中调用 free_reloc_roots（） 以释放本地reloc_roots列表中的所有 reloc 根。这释放了根 X 的 reloc 根;4） 我们沿着调用链向上移动到 relocate_block_group（），后者调用 clean_dirty_subvols（） 遍历脏根并将其 ->reloc_root 字段设置为 NULL，但根 X 不在dirty_subvol_roots列表中，因此其 ->reloc_root 仍然指向重定位根;5） 重定位完成，出现错误和事务中止，但根 X 的 ->reloc_root 字段仍然指向在步骤 3 中释放的重定位根;6） 卸载 fs 时，我们最终会调用：btrfs_free_fs_roots（） btrfs_drop_and_free_fs_root（） --> 针对根 X 的 ->reloc_root 调用 btrfs_put_root（），该不是 NULL，并且指向上述步骤 4 中已释放的 reloc 根，从而导致双重释放尝试的释放后使用。Syzbot 通过以下 dmesg/syslog 报告了此问题：[ 106.004389][ T5339] BTRFS 错误（设备 loop0 状态 A）：事务已中止（错误 -5） [ 106.014266][ T5339] BTRFS：错误（设备 loop0 状态 A）（merge_reloc_root：1655：errno=-5 IO 失败 [ 106.021891][ T1061] BTRFS 错误（设备 loop0 状态 A）：
    写出事务时出错： -5 [ 106.026964][ T1061] BTRFS 警告（设备 loop0 状态 A）：
    跳过已中止事务的提交。[ 106.033807][ T5340] BTRFS 错误（设备 loop0 状态 A）：bdev /dev/loop0 错误：wr 3、rd 0、flush 0、corrupt 0、gen 0 [ 106.039265][ T1061] BTRFS：错误（设备 loop0 状态 A）（cleanup_transaction：2067：errno=-5 IO 失败 [ 106.044382][ T5339] BTRFS 信息（设备 loop0 状态 EA）：强制只读 [ 106.074329][ T5339] BTRFS：错误（设备 loop0 状态 EA）（merge_reloc_roots：1887： errno=-5 IO 失败 [ 106.081004][ T5356] BTRFS 信息（设备 loop0 状态 EA）：
    scrub：在 devid 1 上启动 [ 106.085611][ T5339] BTRFS 信息（设备 loop0 状态 EA）：balance：以状态结束： -30 [ 106.089517][ T5356] BTRFS 信息（设备 loop0 状态 EA）：scrub：devid 1 上状态为：-30 [ 106.662365][ T5338] BTRFS 信息（设备 loop0 状态 EA）：文件系统的3a375e4e-b156-4d76-a2ad-16e198ce1409最后一次卸载 [ 106.682946][ T5338] ================================================================== [ 106.686574T5338][ ] 缺陷： KASAN：btrfs_put_root+0x2f/0x250 中的释放后使用 slab 106.690090[ ][ T5338] 在地址处通过任务 syz.0.0/5338 写入大小为 4 [ ][ ] [ 106.694279][ ]T5338[ ] CPU：0 UID：0 PID：5338 通信：syz.0.0 未受感染的 syzkaller #0 PREEMPT（full） [ 106.694293][ T5338] 硬件名称：QEMU Standard PC （Q35 + ICH9， 2009），BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 106.694300][ T5338] 调用跟踪：[ 106.694308][ 106.694314T5338<TASK>T5338] [ ][ ] dump_stack_lvl+0xe8/0x150 [ 106.694331T5338][ ] print_address_description+0x55/0x1e0 [ 106.694343][ T5338T5338106.693173] ?btrfs_put_root+0x2f/0x250 [ 106.694358][T5338] print_report+0x58/0x70 [ 106. ---truncated--- （CVE-2026-93800）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-93800

high Nessus 插件 ID 349802

版本 1.4