Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：修复 sock_ops 中rtt_min的越界读取 读取 skops->rtt_min 的 sockops prog 从不检查 sk 类型：在 tcp_conn_request（） 路径上，sock_ops->sk 为 request_sock（非完整），ctx 重写将其转换为tcp_sock（完整），并超过request_sock末尾读取rtt_min， 返回脏的相邻内存。SEC（sockops） int prog（struct bpf_sock_ops *skops） { switch （skops->op） { case BPF_SOCK_OPS_RWND_INIT： leak = skops->rtt_min; /* 读取request_sock OOB */ ... } }例如，其中一个此类读取返回了 rtt_min=0xffff8881，即泄漏内核指针的上半部。保护该转换正是 SOCK_OPS_GET_FIELD（） 的作用 -- 当 sock_ops->sk 不是锁定的完整套接字时，它会检查is_locked_tcp_sock并返回 0。sock_ops中每隔一个tcp_sock领域都会经过它;rtt_min 是唯一一个开放代码的，因此它会跳过检查。还要通过 SOCK_OPS_GET_FIELD（） 来读取rtt_min。rtt_min有点特别：它是一个结构最小值，我们只需要当前的最小值，所以传递 rtt_min.s[0].v。这相当于旧的手动计算的偏移 offsetof（struct tcp_sock， rtt_min） + sizeof_field（struct minmax_sample， t） （s[0] 位于 rtt_min + 0，.v 位于 + sizeof（.t），即 minmax_get（） 返回的内容），因此加载的字段保持不变，仅添加了全袜保护。不再需要保护手动计算的偏移的两个 BUILD_BUG_ON（）。修补程序前：0：r1 = *（u64 *）（r1 +0） ;r1 = skops->sk 1： r1 = *（u32 *）（r1 +2324） ;（（tcp_sock *）sk）->rtt_min.s[0].v 修补程序后：0： *（u64 *）（r1 +56） = r9 1： r9 = *（u8 *）（r1 +50） ;is_locked_tcp_sock 2：如果 r9 == 0 转到 pc+4 ;不是上锁的全袜子 -> 0 3：
    r9 = *（u64 *）（r1 +56） 4： r1 = *（u64 *）（r1 +0） ;r1 = skops->sk 5： r1 = *（u32 *）（r1 +2324） ;rtt_min.s[0].v 6：转到 PC+2 7： r9 = *（u64 *）（r1 +56） 8： r1 = 0 （CVE-2026-98643）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-98643

high Nessus 插件 ID 367485

版本 1.10