Linux Distros 未修补的漏洞：CVE-2026-98924
critical Nessus 插件 ID 371504
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- fs：避免在 evict_inodes（） 中重复扫描 我们发现，当用户尝试卸载文件系统的磁盘并仍在使用时，会出现挂起任务。在设备删除过程中，fs_bdev_mark_dead（） 会在按住 s_umount 的同时调用 evict_inodes（）。每次 evict_inodes（） 放弃s_inode_list_lock以重新安排时，它都会从s_inodes头重新启动遍历。由于列表顶部有很多引用的 inode，这些重新启动会反复扫描相同的 inode而不回收它们。这可使s_umount长时间保持，从而阻止并发的卸载尝试并触发挂起任务报告。将当前inode（已标记为I_FREEING）保留在处置批次之外，直到重新获取s_inode_list_lock。从此 inode 恢复遍历，并在以后的批次或遍历结束时将其处置。i_lock 下的 zero-refcount 和状态检查允许此遍历器通过设置 I_FREEING 并将其从 LRU 中删除来声明 inode。其他回收程序会跳过 inode，而留下此遍历器负责逐出。只有 evict（） 会将其从 s_inodes 中删除，因此将其排除在处置批次之外可确保在锁定终止时它保留在列表中。重新获取锁定后，读取其当前的下一个指针说明会同时删除后续 inode。现有 inode 生命周期规则禁止获取对标记为 I_FREEING 或 I_WILL_FREE 的 inode 的引用。__iget（） 要求其调用程序保持i_lock并证实获取引用有效。Inode 查找和 igrab（） 从零获取引用时检查i_lock下的这些标记。ihold（） 需要现有引用，这样会保持i_count非零，并阻止此遍历器声明 inode。这些规则已允许 iput_final（） 和 inode shrinker 在设置I_FREEING之后和逐出完成之前释放i_lock。临时 __iget（） 引用也会保留列表中的 inode，但其释放必须保留最后引用处理。其他用户可获取引用、更新惰性时间戳并在保留引脚时丢弃其引用。如果引脚成为最后一个引用，则通过 atomic_dec_and_test（） 丢弃该引脚并直接逐出会绕过 iput（） 的惰性时间处理，并可能丢失这些时间戳更新。通过 iput（） 释放引脚可保留该处理，但不能保证逐出。fs_bdev_mark_dead（） 以SB_ACTIVE集运行，因此 iput（） 可能将 inode 保留在缓存中，而 evict_inodes（） 必须逐出符合条件的零引用 inode。iput（） 返回时还可能已经释放了 inode，因此遍历器随后无法使用它来强制逐出。使用I_FREEING可以保留现有的逐出行为，而不会引入额外的最后引用转换。xfstests auto 群组传递 ext4 和 XFS，排除已知的不相关故障。通过此修补程序，未发现任何新问题，之前可重现的挂起任务也不再发生。
(CVE-2026-98924)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Critical
ID: 371504
文件名: unpatched_CVE_2026_98924.nasl
版本: 1.1
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/10/23
最近更新时间: 2026/10/23
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.7
百分位: 95.76
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 6.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2026-98924
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
漏洞信息
CPE: cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, p-cpe:/a:debian:debian_linux:linux
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/10/23
参考资料信息
CVE: CVE-2026-98924