Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smack：修复 smack_msg_queue_msgrcv 中不正确的任务上下文 smack_msg_queue_msgrcv（） 函数错误检查“当前”任务而非“目标”任务的权限。在 msgsnd（） syscall 路径中，如果接收方已经在等待，则 pipelined_send（） 优化用于将消息直接推送到接收方任务：ipc/msg.c'pipelined_send（）： ' smp_store_release（&msr->r_msg， msg） 在这种情况下，“发送者”（当前）任务代表“接收者”任务执行检查 （msr->r_tsk， 作为 'target' 参数传递）： ipc/msg.c'pipelined_send（）： ' security_msg_queue_msgrcv（，， target ：= msr->r_tsk，，） 然而，smack_msg_queue_msgrcv（） 会忽略 'target' 并检查 'current'：
    smack_msg_queue_msgrcv（） ' smk_curacc_msq（isp， MAY_READWRITE）;当前任务“当前”可能满足smack_msg_queue_msgrcv读写要求，但“目标”（接收者任务）可能不满足;因此，未经授权的收件人可取得消息，从而违反 MAC 策略。测试：1） 创建带有标签 foo 的 sysv 消息队列 2） echo bar foo r >/smack/load2 3） bar-labeled task 中的 msgrcv（,,,0，MSG_NOERROR）。任务正在等待消息...4） 来自 foo 标签任务的 msgsnd（）：条形标签任务获取消息。此修补程序通过检查“目标”任务而非“当前”任务的权限修复了此问题。
    （2008-02-04，Casey Schaufler）（CVE-2026-93191）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：coreboot：验证表边界 现有的 coreboot_table_populate（） 边界检查将单个条目限制为映射长度。但是，coreboot_table_probe（） 在映射完整表之前，将平台资源长度替换为固件提供的标头和表大小。格式错误的表可能会溢出 32 位大小添加或公告资源以外的盘区，进而导致驱动程序映射并解析资源以外的内存。比固定标头短的资源也会被映射，就像它包含完整标头一样。拒绝比固定标头短的资源。验证签名后，要求一个完整的标头，通过溢出检查计算通告的盘区，并在重新映射表之前拒绝超出资源的盘区。（CVE-2026-90341）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ext4：修复 ext4_xattr_inode_cache_find（） 中的 ABBA 死锁 Syzbot/stress-ng 报告在执行并发 xattr 工作负载（使用 ea_inode 挂载/格式选项）时 ext4 中存在 ABBA 死锁。正在运行的事务和逐出线程之间发生死锁：- 任务 1 （stress-ng）：保留对共享mbcache_entry （ce） 的引用并调用 ext4_xattr_inode_cache_find（） -> ext4_iget（） 以检索相应的 EA inode。由于 EA inode 当前正被逐出，因此 ext4_iget（） 会阻止
    __wait_on_freeing_inode（） 等待逐出完成。- 任务 2（逐出线程）：目前在 ext4_evict_ea_inode（） 中逐出相同的 EA inode。它调用 mb_cache_entry_wait_unused（oe），阻止等待任务 1 释放对mbcache_entry的引用。要打破此死锁，请实现名为 EXT4_IGET_NOWAIT 的新 ext4_iget（） 配置标记。设置后，通过 VFS 的 find_inode_nowait（） API 对 inode 执行非阻塞查找。如果 inode 当前正被逐出（标有 I_FREEING 或 I_WILL_FREE）或正在创建 （I_CREATING），或者 VFS inode 缓存中不存在（缓存缺失），则只需跳过它（返回 -ENOENT），而不必等待逐出/创建完成，从而中断 ABBA 循环。由于我们在出现缓存缺失时立即返回 -ENOENT，因此从不尝试分配新的 inode 或调用 iget_locked（），从而完全消除了任何 TOCTOU 争用窗口。如果返回的 inode I_NEW，则等待其初始化通过 wait_on_new_inode（） 清除。如果初始化失败且 inode 在 wait_on_new_inode（） 唤醒期间被反哈希（例如，由于另一个线程中的 I/O 读取错误），请安全地终止引用并返回 -ENOENT。此未哈希检查会在所有缓存命中路径上无条件执行，以正确处理并发初始化失败。最后，标准验证检查（包括 is_bad_inode、EXT4_EA_INODE_FL、file_acl 和 xattr 标志）在 check_igot_inode（） 中照常执行，全面保证 VFS 层的安全性。在 ext4_xattr_inode_cache_find（） 中，通过新的 EXT4_IGET_NOWAIT 标记调用 ext4_iget（） 以执行非阻塞缓存搜索。（CVE-2026-92503）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：安全地丢弃未注册的延迟锁定 vfs_lock_file（） 延迟锁定时，smb2_lock（） 会在分配和注册异步工作之前将其ksmbd_lock置于 rollback_list。如果任一操作失败，回滚将假设 smb_lock->conn 已初始化并取消引用 NULL。延迟的file_lock在释放时也会保持链接到 VFS blocked-lock 状态。保持锁定关闭rollback_list直到异步设置成功。设置失败时，明确取消阻断并唤醒延迟的锁定，然后再释放该锁定及其 ksmbd 封装程序。（CVE-2026-90156）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：v4l2-async：如果asc_list为空，则取消注册子设备 断开使用 i2c tvp5150 驱动程序的 em28xx USB 设备时，它会崩溃。原因是 tvp5150 i2c 模块使用 v4l2_async，但 em28xx 驱动程序不使用，因为它早于 v4l2_async。在该极端情况下，sd->asc_list 为空，因此 v4l2_async_unregister_subdev（） 永远不会调用 v4l2_device_unregister_subdev（）。修改代码以便在 sd->asc_list 为空时仍会调用 v4l2_device_unregister_subdev（）。（CVE-2026-93101）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/siw：修复 siw_accept（） 中的释放后使用 siw_accept（） 查找用户空间提供的 QP。如果该 QP 已在 RTS 中，则在将传入的 CEP 与其关联之前，该函数会跳转到错误清理。清除测试 qp->cep 是否为非 NULL 并假设当前调用安装了关联。但是，qp->cep 可以指向现有连接的 CEP。然后，清理会丢弃来自传入 cep 的引用，而不是 qp->cep。一旦传入端点丢失其剩余引用，这可在后续 cep->qp 存储之前将其释放，从而造成释放后使用。它还会清除现有的 QP 关联。
    仅当 qp->cep 为传入的 CEP 时才释放关联引用。这样可保留现有关联并避免访问已释放的端点。（CVE-2026-90292）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：sparx5：修复 MAC 表访问 sparx5_set_rx_mode（） 在保留netif_addr_lock_bh的情况下运行的原子上下文中的休眠，并通过 __dev_mc_sync（） 迭代 dev->mc，按地址调用 sparx5_mc_sync（） / sparx5_mc_unsync（） -> sparx5_mact_learn（） / sparx5_mact_forget（）。这些程序包采用互斥体 sparx5->lock 然后使用 readx_poll_timeout（） 轮询 MAC 访问命令寄存器。互斥体可能会阻断，这在原子上下文中是不允许的。将驱动程序转换为提交 3554b4345d85 中引入的新 .ndo_set_rx_mode_async 回调（net：引入 ndo_set_rx_mode_async 和 netdev_rx_mode_work）。异步回调从进程上下文中调用，因此互斥体和休眠完成轮询可保留。在启用 CONFIG_PROVE_LOCKING、CONFIG_DEBUG_SPINLOCK、CONFIG_DEBUG_MUTEXES 和 CONFIG_DEBUG_ATOMIC_SLEEP 的情况下发现：
    缺陷：从位于 kernel/locking/mutex.c：591 的无效上下文调用休眠函数 in_atomic（）： 1， irqs_disabled（）： 0， non_block： 0， PID： 217， name： ip preempt_count： 201， expected： 0 调用跟踪：
    __might_resched+0x144/0x248 __might_sleep+0x48/0x7c __mutex_lock+0x74/0x850 mutex_lock_nested+0x24/0x30 sparx5_mact_learn+0x78/0x100 sparx5_mc_sync+0x40/0x54 __hw_addr_sync_dev+0xc4/0x170 sparx5_set_rx_mode+0x4c/0x58 __dev_set_rx_mode+0x64/0xa4 __dev_open+0x1ec/0x26c （CVE-2026-90098）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cpufreq：imx6q：修复探测多次时的越界写入 在每次探测时imx6_soc_volt被分配新的大小为 ARM OPP 的数量：imx6_soc_volt = devm_kcalloc（cpu_dev， num， sizeof（*imx6_soc_volt）， GFP_KERNEL）;但它通过soc_opp_count填充，具有静态存储并且永远不会重置。取消绑定之后的第二个绑定会从第一个绑定停止的位置继续编制索引，并写入新数组的结尾后。在 KASAN 下，取消绑定并重新绑定 qemu 的 mcimx6ul-evk 上的驱动程序：
    缺陷：KASAN：imx6q_cpufreq_probe+0x3b0/0xa34 中的 slab-out-of-bound 任务 binder/73 在地址 c5e90480 处的写入大小为 4 imx6q_cpufreq_probe 从 platform_probe+0x88/0xe4 platform_probe 从 really_probe+0x108/0x384 bind_store 从 kernfs_fop_write_iter+0x1b4/0x28c 写入落在分配末尾后一个 u32。
    soc_opp_count只读取填充它的循环下方的几行，因此它不需要静态存储。
    使其成为本地。（CVE-2026-90295）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - crypto：acomp - 克隆时分配异步请求上下文 ACOMP_REQUEST_ON_STACK（） 仅为同步回退预留足够的存储空间。选择异步实现时，调用程序会在重试前克隆该堆栈请求，但 acomp_request_clone（） 当前仅复制堆栈大小的对象。因此，克隆没有用于异步提供程序请求上下文的存储空间，而 QAT 等提供程序通过 acomp_request_ctx（） 写入分配之后。KASAN 确实报告了 slab OOB 写入。分配一个足够为运行时 acomp 请求大小使用的归零克隆，仅复制源对象中存在的字节，并保留现有的 fallback-on-allocation-failure 行为。使用运行时 reqsize，因为实现可在 tfm 初始化期间对其进行调整。（CVE-2026-90069）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - staging：media：ipu7：修复 ipu7_resume（） ipu7_resume（） 调用 pm_runtime_get_sync（） 中的 pm_runtime refcount 泄漏，然后再恢复设备。如果运行时 PM 恢复失败，则使用计数仍保持递增，但错误路径返回而不会丢弃引用。请改用 pm_runtime_resume_and_get（），这样可以平衡失败时的使用计数并避免泄漏。出错时持续返回 0，因为恢复回调不应将失败传递到 PM 核心，从而与 ipu6 驱动程序的行为相匹配。
    (CVE-2026-93143)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - lwt_bpf：在 xmit 程序 ip_finish_output2（） 在 LWT xmit 之前将 skb 扩展到 LL_RESERVED_SPACE（dev） 之后，还原预留的余量。然后，LWT_XMIT BPF 程序可以修改 skb 磁头但仍返回 BPF_OK，因此 bpf_xmit（） 会在 skb 继续相邻输出之前重新检查剩余的余量。
    重新检查使用 dst->dev->hard_header_len。对于相邻的缓存标头路径，这还不够：
    neigh_hh_output（） 使用对齐的 hh_cache 大小复制缓存的硬件标头，HH_DATA_MOD短标头或 HH_DATA_ALIGN（hh_len） 其他大小。在以太网上，hard_header_len为 14，但缓存副本需要 16 字节。如果LWT_XMIT BPF 程序调用 bpf_skb_change_head（skb， 1， 0），则 skb 在该程序之后仍可有 15 字节的余量。现有检查接受此错误，之后 neigh_hh_output（） 命中其余量警告并终止 skb。在 BPF 后的余量检查中使用 LL_RESERVED_SPACE（dst->dev），以匹配在 LWT xmit 之前进行的预留。（CVE-2026-90160）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：序列化具有待定中断所有权关闭的 oplock 可在另一个中断程序已持有 opinfo 引用时中止正在运行的 oplock 中断。释放pending_break唤醒该等待程序，但如果不使用位获取序列化关闭转换，它可以通过 test_and_set_bit（） 快速路径成为新的中断所有者。然后，它可以使用 OPLOCK_ACK_WAIT 覆盖OPLOCK_CLOSING并继续中断以获取垂死的 opinfo。从 inode 列表中删除 opinfo 之后OPLOCK_CLOSING终端。
    使用 opinfo 状态锁定序列化该转换、pending_break采集和OPLOCK_ACK_WAIT设置。
    输掉比赛的破坏者会释放其所有权并返回 -ENOENT。在关闭期间明确唤醒 pending_break 等待程序，以便他们可以观察终端状态。还可防止 ACK 和超时路径将OPLOCK_CLOSING替换为 OPLOCK_STATE_NONE。（CVE-2026-90167）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/tegra241-cmdqv：根据 VINTF （de）init 同步错误 ISR 用户 VINTF 由 tegra241_cmdqv_deinit_vintf（） 拆散，后者从 alloc 处理程序中的 destroy 回调和 init-failure 展开运行。它会清除 cmdqv->vintfs[] 插槽并让 iommufd 核心释放该插槽，但没有任何东西针对错误中断进行序列化：tegra241_cmdqv_isr（） 读取 cmdqv->vintfs[idx] 并取消引用 vintf。并发错误可使 ISR 读取空隙（空取消引用），或使用即将释放的 vintf（释放后使用）。deinit_vintf（） 还会在清除该插槽之前将 idx 返回给 IDA，因此重用 idx 的并发创建可将其新 vintf 发布到该插槽中，只会让此拆卸通过过时的 NULL 存储再次将其擦除。在另一端，tegra241_cmdqv_init_vintf（） 向 cmdqv->vintfs[] 插槽发布具有普通存储的新 vintf，而 ISR 会取消引用已发布 vintf 的字段，例如 vintf->base。普通存储在排序较弱的 CPU 上无法排序，而重用的 idx 上过时的 VINTF_ERR_MAP 位可使 ISR 在发布 vintf 时（设置其字段或运行 tegra241_vintf_hw_init（） 之前对其进行挑选。cmdqv->vintfs[0] 插槽会保持 NULL，直到 tegra241_cmdqv_init_structures（） 先创建 VINTF0，因此插槽 0 读取需要相同的 NULL 检查。通过 smp_store_release（） 发布每个插槽，并且在 NULL 检查下通过 smp_load_acquire（） 读取 ISR 中的每个插槽，这样 ISR 始终可看到完全构建的 vintf 或 NULL。还使 deinit_vintf（） 在将 idx 返回给 IDA 之前清除插槽和 synchronize_irq（），这样就不会在正在运行的处理程序下释放 vintf，也不会重写重用的 idx。（CVE-2026-90429）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：arm_scmi：修复请求的设备删除争用 scmi_protocol_device_unrequest（） 在通知监听器时丢弃scmi_requested_devices_mtx，但继续保留每个协议的列表头。
    当同一协议的两个 SCMI 驱动程序同时取消注册时，一个线程可在另一个线程运行其通知程序时删除最终请求并释放列表头。后者随后在重新获取互斥体之后取消引用释放的列表头，并可再次释放它。完成列表和 IDR 更新，包括释放空的列表头，然后再删除互斥体。将阻止通知程序放在重要部分之外，并在回调中仅保留分离的请求。（CVE-2026-92506）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - netdevsim：队列重置时更新队列 NAPI 关联 在 netdevsim 中，接收队列 （struct nsim_rq） 嵌入其自己的 struct napi_struct。执行队列重置时（例如通过 debugfs queue_reset），nsim_queue_start（） 在新分配的 struct nsim_rq中交换，而 nsim_queue_mem_free（） 稍后删除并释放旧的 struct 。但是，nsim_queue_start（） 无法通过 netif_queue_set_napi（） 更新队列到 NAPI 的映射。因此，dev->_rx[idx].napi 继续指向旧 NAPI 结构。释放旧队列后，通过 Netlink （NETDEV_CMD_QUEUE_GET） 进行的后续队列转储会在访问 rxq->napi->napi_id 时在 nla_put_napi_id（） 中触发 KASAN slab-after-use-after-free 读取。通过在 nsim_queue_start（） 中调用 netif_queue_set_napi（） 以将新 NAPI 与 RX 队列相关联并在拆卸过程中清除与 nsim_del_napi（） 中 netif_queue_set_napi（...， NULL） 的关联，来修复此问题。（CVE-2026-90113）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - tty：在 cdev_add（） 失败后清除 cdev 指针 tty_cdev_add（） 在 cdev_add（） 失败时删除 cdev 引用，但使 driver->cdevs[index] 指向已释放的内存。tty_unregister_device（） 稍后会将该过时指针传递给 cdev_del（），进而造成释放后使用。丢弃引用后请清除插槽。
    (CVE-2026-90334)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/tegra241-cmdqv：在 devm_krealloc（） 之后不回退到已释放的 smmu。__tegra241_cmdqv_probe（） 使用 devm_krealloc（） 将@smmu增长到更大的tegra241_cmdqv，这样会在重新定位后释放原始@smmu。此后失败返回 NULL，调用程序随后在其回退路径上取消引用已释放的@smmu。返回一个 int 并通过引用改为@smmu，然后在 devm_krealloc（） 成功后将 *smmu 更新到重新分配的指针，这样调用程序及其回退路径就同时使用实时@smmu而非已释放的原始指针。（CVE-2026-90427）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - spi：davinci：切换至托管控制器分配 通过 devm_request_threaded_irq（） 注册中断时，通过非托管 spi_alloc_host（） 分配控制器。删除期间，spi_bitbang_stop（） 仅取消控制器的注册;然后，后续的 spi_controller_put（） 会释放控制器及其嵌入式davinci_spi devdata，即 IRQ 处理程序的dev_id。耗尽处理程序的 devm_request_threaded_irq（） 释放操作 （free_irq（）） 直到 .remove（） 返回后才会运行。因此，延迟或锁存中断可到达 davinci_spi_irq（） 并取消引用已释放的内存。切换到 devm_spi_alloc_host（），以便 devres LIFO 顺序仅在 free_irq（） 耗尽处理程序后才释放控制器，并从 .remove（） 中丢弃现在冗余的 spi_controller_put（）。探测错误路径已简化为直接返回。时钟通过 devm_clk_get_enabled（） 获取，后者在 IRQ 之后注册，因此由 devres LIFO 顺序在其之前释放。在禁用控制器之前，先使用 devm_free_irq（） 显式耗尽中断，以便延迟中断无法访问时钟网关控制器的寄存器。此问题由内部静态分析工具发现。（CVE-2026-90410）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFS：返回客户端无法记录的委派 当 NFS 服务器在 OPEN 回复中授予委派时，nfs_inode_set_delegation（） 会在客户端上记录该委派。但是，其三个错误流返回时未发送 DELEGRETURN。只能通过 DELEGRETURN 释放委派（RFC 8881 部分 20.2.4），因此静默终止委派会使服务器相信客户端仍保留该委派。如果服务器恰好恢复了该委派，客户端会CB_RECALL NFS4ERR_BADHANDLE，因为它没有 stateid 的记录。服务器会撤销委派并将其移至cl_revoked列表中，因为客户端从不发送耗尽委派的FREE_STATEID。然后，每个后续 SEQUENCE 回复都会携带SEQ4_STATUS_RECALLABLE_STATE_REVOKED，客户端的状态管理器循环在其委派之间发出TEST_STATEID，而不会清除条件。现在，服务器对任何写入 OPEN 都提供了写入委派，因此可以轻松访问该窗口：为一个打开者调用的委派与服务器用新的写入委派进行响应的重新打开争用。在这些错误流期间，不要将其丢弃，而是将委派交回。（CVE-2026-90234）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：ath11k：修复 mac_phy_caps_parse（） 中的步幅不匹配 目前，在 ath11k_wmi_tlv_mac_phy_caps_parse（） 中，kcalloc（） 将 mac_phy_caps 缓冲区大小设为 tot_phy_id * len，其中 len 被限制为 min（firmware_len， sizeof（struct wmi_mac_phy_capabilities））。后续的 memcpy（） 目标通过 C 指针算法按每个插槽的 sizeof（完整结构）前进，而非按钳制的 len 前进。
    固件发送短 TLV 时，第二个和更后面的插槽将写入到分配末尾后的位置。ath11k_pull_mac_phy_cap_svc_ready_ext（） 中的阅读器还使用全结构指针算法为缓冲区编制索引，因此分配必须与该步幅相匹配。使用 kzalloc_objs（） 进行修复，可从指针类型派生元素大小，使分配大小和指针步幅可证明一致，无论固件提供什么 len。仅测试编译文件。(CVE-2026-90398)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7915：修复寄存器错误路径上的扩展 PHY 释放后使用 mt7915_register_ext_phy（） 成功后，主 PHY mt7915_init_debugfs（） 或 mt7915_coredump_register（） 失败通过 free_phy2展开，这会在仍通过 mac80211 注册的 ext PHY hw 上调用 ieee80211_free_hw（），因为 mt76_unregister_device（） 仅取消注册主 hw。首先取消注册ext PHY （thermal + phy + hw），然后跳过冗余释放。（CVE-2026-90353）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - apparmor：修复 complain 模式中的死锁 change_hat 在 change_hat 不存在 Hat 且为缺少的配置文件创建新的学习配置文件时，在抱怨模式下使用  可导致死锁。这是因为 change_hat（） 已获取锁定以搜索帽子列表，并且创建新的学习档案需要获取锁定以将其添加到列表中。来自缺陷报告：最初在 LTS ubuntu 26.04 中7.0.0发现，在抱怨模式下 pam_apparmor + su 设置为更改帽子。然后在我编译的最新可用 vanilla 内核中进行验证，看看是否仍然存在：7.2-rc7 vanilla -> 受影响还检查了其他一些内核：
    6.18.44 vanilla -> 受 Debian 修补程序影响 6.12.95 -> 不受影响 在没有错误的系统（例如 6.12.95 debian）上，它仅打印：aa_change_hat rc=0 在有错误的系统上，可执行文件始终挂起，不打印任何内容并且变得不可终止。（一旦以这种方式卡住，它将导致任何进一步的帽子更改，也会导致更改进程卡住）然后在 syslog 中，您可以找到有关原因的提示：kernel：INFO：
    task hat：3409 被阻断超过 483 秒。kernel： 未受感染 7.2.0-rc7 #1 kernel： echo 0 > /proc/sys/kernel/hung_task_timeout_secs 禁用此消息。 kernel： task：hat state：D stack：0 pid：3409 tgid：3409 ppid：2605 task_flags：0x400000 flags：0x00080800 kernel： 调用跟踪： kernel： <TASK> kernel：
    __schedule+0x48f/0xfe0 内核：schedule+0x27/0xa0 内核：schedule_preempt_disabled+0x15/0x30 内核：
    __mutex_lock.constprop.0+0x569/0xa10 内核：aa_new_learning_profile+0x15f/0x210 内核：
    build_change_hat+0x19f/0x3b0 内核：change_hat.isra.0+0x5dd/0xd60 内核：aa_change_hat+0x2f3/0x710 内核：aa_setprocattr_changehat+0x121/0x1f0 内核：do_setattr+0x28c/0x340 内核：
    apparmor_setselfattr+0x20/0x50 内核： security_setselfattr+0xf6/0x110 内核：
    __x64_sys_lsm_set_self_attr+0x53/0x90 内核：do_syscall_64+0xdd/0x5e0 内核：？
    __mod_memcg_lruvec_state+0xfd/0x260 内核：？lruvec_stat_mod_folio+0x8d/0xd0 内核：？
    __folio_mod_stat+0x2d/0x90 内核：？map_anon_folio_pte_nopf+0xd1/0x1f0 内核：？do_anonymous_page+0x184/0xa10 内核：？__handle_mm_fault+0x805/0x870 内核：？count_memcg_events+0xef/0x230 内核：？handle_mm_fault+0x1f0/0x2f0 内核：？do_user_addr_fault+0x2bb/0x7b0 内核：？do_syscall_64+0x94/0x5e0 内核：？exc_page_fault+0x75/0x160 内核：entry_SYSCALL_64_after_hwframe+0x76/0x7e 内核：RIP：0033：0x7f815e134c8d 内核：RSP：
    002b：00007fff6df94ea8 EFLAGS：00000246 ORIG_RAX：00000000000001cc 内核： RAX：ffffffffffffffda RBX：
    0000556d8c81d040 RCX： 00007f815e134c8d 内核： RDX： 0000000000000046 RSI： 0000556d8c81d040 RDI：
    0000000000000064 kernel： RBP： 00007fff6df94ef0 R08： 00007f815e212ac8 R09： 000000000000000c kernel： R10：
    00000000000000000 R11：0000000000000246 R12：0000556d8c81d010 kernel： R13：0000000000000026 R14：
    0000000000000046 R15： 0000000000000064 kernel： </TASK> kernel： INFO： task hat：3409 在可能由任务 hat：3409 拥有的互斥体上被阻断。要解决此问题，解除 aa_new_learning_profile（） 核心的锁定，引入一个包装函数在需要时获取锁定，并使 build_change_hat（） 调用不再获取锁定的核心函数。此外，还修复了提交 32e92764d6f8d 引入的 4 个其他问题（apparmor：查找 changehat 子配置文件时，抓取 ns 锁定并刷新） - aa_get_profile_rcu（） 替换为：aa_get_profile，缺少随附的 rcu_dereference_protected（） - 在缺少随附 aa_put_label（） 的 change_hat（） 开头引入了一个额外的 aa_get_label（label），从而导致引用计数泄漏。- 在 label_is_stale（label） 情况下引入了引用计数泄漏，其中会泄漏最新的配置文件，而不是传递给函数的标签。- 查找在树上行走时可能存在 UAF，new_ns ！= ns，新标签引用 ---truncated--- （CVE-2026-90179）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/sched：sch_teql：还原从属故障路径上的 skb->dev teql_master_xmit（） 在调用从属设备的 ndo_start_xmit（） 前设置 skb->dev = slave，但是在该传输失败时永远不会还原它。然后，skb 走到下一个仍然指向前一个的从服务器。如果后续从服务器没有解析的邻居，teql_resolve（） 会将 skb 传递给 neigh_event_send（），后者会将其与过时的 skb->dev 放在该邻居的arp_queue上排队。skb->dev 不包含引用，因此删除之前的从服务器可在 skb 仍在排队时释放net_device。无论接下来在该 skb 上运行什么 - 超时时 arp_error_report（），或邻居解析后 neigh_direct_output（） -> dev_queue_xmit（） - 都会导致如下所示的 UAF：
    缺陷：KASAN：__icmp_send 中的 slab-use-after-free （net/ipv4/icmp.c：914 （discriminator 2）） 在地址 ffff888106e100b0 处按任务读取大小为 4 的 flood_packet/527 CPU：0 UID：0 PID：527 通信：flood_packet 未受感染 7.2.0-rc6-g594d90519502 #1 PREEMPT（lazy） 硬件名称：QEMU Ubuntu 24.04 PC v2（i440FX + PIIX，arch_caps补丁，1996 年），BIOS 1.16.3-debian-1.16.3-2 2014 年 4 月 1 日调用跟踪： <IRQ> dump_stack_lvl （lib/dump_stack.c：94 lib/dump_stack.c：120） print_report （mm/kasan/report.c：378 mm/kasan/report.c：482） ？
    __pfx__raw_spin_lock_irqsave （./include/asm-generic/qrwlock.h：122 （discriminator 4）） ？__icmp_send （net/ipv4/icmp.c：914 （discriminator 2）） kasan_report （mm/kasan/report.c：595） ？__icmp_send （net/ipv4/icmp.c：914 （discriminator 2）） __icmp_send （net/ipv4/icmp.c：914 （discriminator 2）） [...] ipv4_link_failure （net/ipv4/route.c：1251 net/ipv4/route.c：1258） ？__pfx_ipv4_link_failure （./include/linux/skbuff.h：4327） ？_raw_write_lock （./include/linux/instrumented.h：55 ./include/linux/atomic/atomic-instrumented.h：1301 ./include/asm-generic/qrwlock.h：98 ./include/linux/rwlock_api_smp.h：230 kernel/locking/spinlock.c：304） ？__pfx__raw_write_lock （kernel/locking/spinlock.c：175） arp_error_report （./include/net/dst.h：438 net/ipv4/arp.c：296） neigh_invalidate （net/core/neighbour.c：1077） neigh_timer_handler （net/core/neighbour.c：1169） [...]按任务 505 分配：kasan_save_stack （mm/kasan/common.c：57） kasan_save_track （mm/kasan/common.c：78）
    __kasan_kmalloc （mm/kasan/common.c：398 mm/kasan/common.c：415） __kvmalloc_node_noprof （./include/linux/kasan.h：263 mm/slub.c：5334 mm/slub.c：6905） alloc_netdev_mqs （net/core/dev.c：12055 （discriminator 2）） rtnl_create_link （net/core/rtnetlink.c：3721） rtnl_newlink （net/core/rtnetlink.c：3903 net/core/rtnetlink.c：4044 net/core/rtnetlink.c：4159） rtnetlink_rcv_msg （net/core/rtnetlink.c：7076） [...]由任务 536 释放：kasan_save_stack （mm/kasan/common.c：57） kasan_save_track （mm/kasan/common.c：78） kasan_save_free_info （mm/kasan/generic.c：584） __kasan_slab_free （mm/kasan/common.c：253 mm/kasan/common.c：285） kfree （./include/linux/kasan.h：235 mm/slub.c：2677 mm/slub.c：6377 mm/slub.c：6692） device_release （drivers/base/core.c：2636） kobject_put （lib/kobject.c：689 lib/kobject.c：720 ./include/linux/kref.h：65 lib/kobject.c：737） netdev_run_todo （net/core/dev.c：11756） rtnl_dellink （net/core/rtnetlink.c：157 ./include/linux/rtnetlink.h：135 net/core/rtnetlink.c：3651） rtnetlink_rcv_msg （net/core/rtnetlink.c：7076） [...]通过在每个从属迭代结束时将 skb->dev 还原到主服务器来修复此问题。（CVE-2026-90071）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - clk：mediatek：pllfh：修复register_pllfhs错误路径中的 IO 重新映射泄漏 当mtk_clk_register_pllfhs函数无法注册 PLL 时，它会取消注册所有 PLL，并在返回之前在其错误路径中清理自身，因此函数调用方不需要执行此操作。但是与执行几乎相同顺序mtk_clk_unregister_pllfhs函数相反，它不会释放 fhctl 节点上映射的 IO 内存，从而导致泄漏。通过分解新的私有函数中清理序列并同时用于 mtk_clk_register_pllfhs 和 mtk_clk_unregister_pllfhs 函数，修复此泄漏。此外，更改循环索引起始值以避免每个循环时对索引执行 -1 操作。（CVE-2026-90422）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7996：清除完全重置时过时的链路状态 完全芯片重置后，mac80211 reconfig 重播接口、链路和通道上下文设置。mt7996_vif_link_add（） 当 link_id 仍在 mvif->valid_links 中标记时短路，此状态为将链路拆卸延迟到接口删除而引入。重置路径在不清除这些位的情况下释放链接结构，因此重播的设置永远不会在重新启动的固件中重新创建 dev_info/bss_info/STA 记录，也永远不会重新注册链接 wcid，从而使设备无法运行。重置路径还会泄漏每个分配的 MLD 索引：在重新配置期间，每个链接索引和每个 vif 群组/重新映射索引从头开始重新分配，但旧位仍然设置在掩码中，因此反复完全重置会耗尽索引空间。清除重置 vif 迭代器中的valid_links，并重置 MLD 索引掩码及现有omac_mask清除。（CVE-2026-90355）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/core：修复 ib_dealloc_pd_user（） 中潜在的释放后使用 当通过 netlink 路径访问 PD 时，所述 PD 的唯一同步机制为 rdma_restrack_get（）。目前，rdma_restrack_del（） 会在 ib_dealloc_pd_user（） 的结尾调用，但为时已晚，因为此时与 PD 相关的特定供应商资源可能已经释放。这可能会留下一个较短的窗口，即 PD 仍可通过重新跟踪访问，从而导致潜在的释放后使用。通过将 rdma_restrack_begin_del（） 调用移到 ib_dealloc_pd_user（） 的开头来修复此问题，确保在释放 PD 内部资源之前从 restrack 中删除 PD。这可保证没有新用户持有对正在销毁的 PD 的引用。此外，此更改保留了创建和销毁例程之间的预期反向顺序：在成功创建结束时添加资源以进行重新跟踪，因此在销毁流期间应首先从重新跟踪中删除资源，从而保持生命周期管理的一致性和可预测性。（CVE-2026-92507）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：修复任务工作回调中的 CFI 不匹配问题 BPF 子程序使用bpf_callback_t ABI，但任务工作通过三参数函数指针调用回调。这会使 kCFI 跳闸。将回调存储并调用为 bpf_callback_t。（CVE-2026-92486）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：拒绝 cgroup getsockopt 挂钩中的负 optlen。cgroup getsockopt BPF 程序可在内核 getsockopt 处理程序运行后缩小 ctx->optlen。TCP_ZEROCOPY_RECEIVE 使用的 kernel-buffer 变体仅拒绝大于原始长度的值。如果 BPF 写入负 optlen，系统会接受该值，并将该值传播回 TCP getsockopt 代码。然后可将其作为size_t传递给 copy_to_sockptr（），并触发强化的 usercopy 字节> INT_MAX警告。拒绝 __cgroup_bpf_run_filter_getsockopt_kern（） 中的负 ctx.optlen，与基于 sockptr 的 getsockopt 挂钩中已有的下界验证相匹配。（CVE-2026-90157）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - irqchip/renesas-irqc：修复删除时的通用中断芯片泄漏 驱动程序分配域通用芯片探测。但是，在删除驱动程序时，删除中断域时不会自动释放通用芯片，因为域标记不包含IRQ_DOMAIN_FLAG_DESTROY_GC。这会同时造成域通用芯片结构和相关的通用芯片泄露。此外，通用芯片仍保留在全局列表中，稍后可在删除驱动程序后通过通用中断芯片暂停、恢复或关机回调进行访问，从而可能导致释放后使用和内核崩溃。
    通过在中断域上设置IRQ_DOMAIN_FLAG_DESTROY_GC修复资源泄漏;这使得中断域核心在调用 irq_domain_remove（） 时自动释放所有通用芯片，从而无需在错误路径和删除回调中手动进行清理调用。（CVE-2026-93072）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：dell-wmi-base：修复 ultra 性能密钥的处理 提交 5fbd827eb9c2（platform/x86：dell-wmi：识别或支持新交换机）的提交消息指出 ultra 性能密钥在类型和代码字段之后包含额外的数据。传递到 dell_wmi_process_key（） 的事件数据已被解析，因此缓冲区已在这两个字段之后启动。使用正确的索引访问第一个数据字段，以避免潜在的缓冲区过度读取。（CVE-2026-93129）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - btrfs：zoned：将盘区缓冲区清零时不强制改写盘区缓冲区 在分区文件系统中，释放但仍脏的树块被写出为零 （EXTENT_BUFFER_ZONED_ZEROOUT） 只是为了保持区域写入指针前进。btree_csum_one_bio（） 通过在提交前对盘区缓冲区自有作品集进行记忆清零来实现这一点。这会在可能仍被引用时破坏内存内缓冲区。特别是，btrfs_free_tree_block（） 之后可以在其上运行并读取标头以添加延迟引用;一旦标头被清零，它将释放 bytenr 0 并损坏盘区树（btrfs_free_tree_block（） 中的 btrfs_header_bytenr（buf） ！= 0 ASSERT 或无法找到 ref 中止）。它是片状的，可在 fsstress 下繁殖，例如 generic/461 和 generic/013。转而从共享零页面将零写入磁盘，并保持盘区缓冲区内容不变，这样任何后续的引用（包括来自 btrfs_free_tree_block（） 的延迟引用）仍会看到有效的标头。end_bbio_meta_write（） 现在清除缓冲区自有作品集上的回写，因为 bio 不再包含这些回写。（CVE-2026-90260）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvmet：修复 configfs 和控制器分配之间的max_qid争用 修改子系统的max_qid限制时，函数 nvmet_subsys_attr_qid_max_store（） 可与 nvmet_alloc_ctrl（） 争用。假设max_qid当前为 64。如果 nvmet_alloc_ctrl（） 执行：ctrl->sqs = kzalloc_objs（struct nvmet_sq *， subsys->max_qid + 1）;而正是在这个时候，用户空间进程max_qid变为 128，nvmet_subsys_attr_qid_max_store（） 将设置新的max_qid值。它会尝试删除活动的控制器以强制重新连接，但不会删除新控制器，因为尚未将其添加到 subsys->ctrls 列表。然后 nvmet_alloc_ctrl（） 继续操作并将新控制器添加到 subsys->ctrls 列表。之后，当调用 nvmet_install_queue（） 时，将看到 max_qid 设置为 128，但是分配给 sqs 的内存大小仅为 64 个条目。这会导致 KASAN 越界警告和潜在内存损坏。通过使用 down_read（&nvmet_config_sem） 保护 nvmet_alloc_ctrl（） 中的队列分配和列表插入来修复此问题。由于 nvmet_subsys_attr_qid_max_store（） 获取 down_write（&nvmet_config_sem） 以修改属性，因此可以安全地阻止 configfs 编写器在控制器创建期间修改max_qid。在分配过程中，将子系统中的max_qid复制到控制器的结构中;只要控制器处于实时状态，ctrl->max_qid 就不会更改，因此这将防止类似的争用条件。（CVE-2026-90206）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：gadget：f_fs：修复 ffs_dmabuf_transfer（） 错误路径中的隔离清理 ffs_dmabuf_transfer（） 中的端点禁用 （ESHUTDOWN） 和请求分配失败 （ENOMEM） 错误路径会跳至调用隔离上的 dma_fence_put（） 的err_fence_put。但是，此时隔离仅被 kmalloc'd dma_fence_init（） 尚未调用，因此 refcount 和隔离 ops 未初始化。
    对此类对象调用 dma_fence_put（） 会导致未定义的行为。请改用 kfree（），因为此阶段隔离只是一个普通分配，并将标签重命名为 err_fence_free 以反映实际的清理操作。（CVE-2026-93121）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - rapidio：当 rio_add_net（） 失败时清除 mport->net rio_alloc_net（） 会在 rio_scan_alloc_net（） 注册设备之前将新分配的rio_net存储在 mport->net 中。如果 rio_add_net（） 失败，rio_scan_alloc_net（） 会通过 put_device（） 丢弃设备引用，通过设备释放回调释放rio_net。但是，mport->net 仍然指向已释放的对象。之后的 mport 取消注册路径随后可取消引用悬摆的 mport->net 指针，并可能再次尝试释放相同的rio_net。清除 rio_add_net（） 失败路径中的 mport->net，与为 destID 表分配失败路径所做的清理匹配。
    (CVE-2026-90319)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - clk：visconti：确保clk_init_data完全初始化 clk_init_data 结构包含多个互斥成员，用于指定时钟的可能父项的方法，从而提示驱动程序仅初始化所需的成员。但是，未初始化所有成员可能会导致细微的问题，这些问题仅在启用了CONFIG_INIT_STACK_ALL_PATTERN或CONFIG_INIT_STACK_NONE时才会暴露出来。
    visconti_clk_register_gate（） 填入init.parent_data，并假设init.parent_names为 NULL。
    但是，后者未初始化，因此可能造成崩溃。确保所有成员都已完全初始化，以修复此类缺陷，并避免将来在将驱动程序转换为用于指定父项的其他方法时出现中断。（CVE-2026-90122）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - crypto：atmel-ecc - 拒绝没有公钥的硬件 ECDH atmel_ecdh_compute_shared_secret（） 中的硬件 ECDH 路径使用存储在设备中的私钥。但是，只有在 atmel_ecdh_set_secret（） 成功为当前 tfm 生成该私钥后，才会缓存公钥。
    atmel_ecdh_generate_public_key（） 在未缓存公钥的情况下已经拒绝请求。对 atmel_ecdh_compute_shared_secret（） 添加相同的检查以防止设备使用不是针对当前 tfm 生成的私钥。（CVE-2026-93160）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/lima：调用具有有效分配范围的 drm_mm_init（），当前会在设置 va_start 和 va_end 之前运行 lima_vm_create（），这意味着它们都是 0。lima_vm_create（） 运行 drm_mm_init（），并将它们作为分配器的参数，如果启用DRM_DEBUG_MM，则会触发 drm_mm_init 中的DRM_MM_BUG_ON检查，如此处所示在 exynos4412-odroid-u2： [ 1.736297] ------------[ cut here ]------------ [ 1.740370] drivers/gpu/drm/drm_mm.c：931！[ 1.745574] 内部错误：错误 - 缺陷：0 [#1] SMP ARM [1.750697] 模块链接：[ 1.753734] CPU：0 UID：0 PID：41 通信：kworker/u16：1 未受感染 7.0.10-postmarketos-exynos4 #11 PREEMPT [ 1.763372] 硬件名称：Samsung Exynos（扁平化设备树） [ 1.769446] 工作队列：events_unbound deferred_probe_work_func [ 1.775261] PC 处于 drm_mm_init+0x9c/0xa4 [ 1.779339] LR 处于 lima_vm_create+0x144/0x17c [ ... ]通过在设置 va_start 和 va_end 后移动 lima_vm_create（） 调用来修复此问题。（CVE-2026-93183）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：arm_scmi：当同一 ID 表中的后续条目失败时，回滚部分协议表注册 scmi_protocol_table_register（） 可保留之前的注册请求。每个请求都会保留一个指向驱动程序 ID 表的指针，因此失败的模块加载可在释放模块存储之后留下一个悬摆指针。在返回失败之前，仅以相反的顺序取消请求已成功注册的前缀。不影响失败的条目和其余条目，因为匹配请求可由其他驱动程序拥有。（CVE-2026-92491）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：修复 MLO 工作站的非 AQL 数据包核算 __mt76_tx_queue_skb（） 替代具有 sta->drv_priv 的驱动程序传递的 wcid，因此 wcid 可能在 TX 之后被错误地更改，从而导致在错误的 wcid 上计入 wcid->non_aql_packets。例如，在AP端，如果一个基站的建立链路是5G链路，并且该基站使用2G传输帧，则non_aql_packets值在5G wcid上增加，但在2G wcid上减少。一旦充气计数器超过 MT_MAX_NON_AQL_PKT，TX 调度程序将永久拒绝为电台提供服务。终止用于传输的 wcid 上的重新分配和帐户。这还会记录队列条目中的实际 wcid。（CVE-2026-90375）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Squashfs：检查区块偏移是否不是负 如果从磁盘读取负偏移（例如，将偏移到解压缩的片段区块中），这将导致 squashfs_copy_data（） 执行越界访问。通过检查偏移是否为负并返回 0 进行修复。这与现有行为相匹配，其中超出块的偏移量返回复制的 0 字节。若要触发此越界访问，需要特制的 Squashfs 文件系统以及CAP_SYS_ADMIN来挂载该文件系统。非特权用户将无法挂载此类文件系统，但是一旦挂载，非特权用户可以通过读取包含负偏移的构建文件来触发越界访问。（CVE-2026-90203）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7996：修复 mt7996_tx（） 中的越界链接数组访问 mac80211 未指定链接时，mt7996_tx（） 将替换工作站或 VIF 的主链路 ID。该值一直IEEE80211_LINK_UNSPECIFIED （0xf），直到添加第一个链接，然后不检查就用于索引 vif->link_conf[]、mvif->mt76.link[] 和 sta->link[]，所有这些索引都会保留IEEE80211_MLD_MAX_NUM_LINKS （15） 个条目。在使用主链路 ID 之前将其限制为默认链接，并将限制的值也用于link_sta回退。（CVE-2026-90349）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：dell-privacy：修复争用条件 访问 priv->features_present 需要在持有列表互斥体的情况下进行，否则可随时释放 priv。（CVE-2026-93131）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：fec：仅在初始化的情况下才停止 PTP fec_ptp_init（） 仅当 fep->bufdesc_ex 可用时才调用。但在设备移除过程中，fec_probe（） 会无条件调用 failed_init 路径上的 fec_ptp_stop（），而 fec_drv_remove（） 会无条件调用 fec_ptp_stop（）。在两个路径中调用 fec_ptp_stop（） 之前检查 fep->bufdesc_ex，以免在未初始化 PTP 时停止。（CVE-2026-90056）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - IB/isert：拒绝声明的数据多于实际接收数据的登录 PDU isert_login_recv_done（） 记录 HCA 实际放置在登录缓冲区中的字节数，但无法与登录 PDU 的 BHS 声明的长度进行比较。isert_rx_login_req（） 将 min（login_req_len， MAX_KEY_VALUE_PAIRS） 字节复制到 login->req_buf 中，然后登录代码从该缓冲区读回声明的长度 - 对于 iscsi_target_locate_portal（） 中的第一个 PDU，payload_length = ntoh24（login_req->dlength）;tmpbuf = kmemdup_nul（login->req_buf， payload_length， GFP_KERNEL）;对于 iscsi_decode_text_input（） 中它之后的，从 iscsi_target_do_login（） 到达。login->req_buf 是固定的 MAX_KEY_VALUE_PAIRS （8192） 字节分配，因此声明多于发送的发起程序会在其末尾进行读取，在认证之前，并控制长度： 缺陷：KASAN：在 kmemdup_nul+0x43/0x80 中存在 slab-out-of-bound，地址为 ffff8881056a8000，按任务 iscsi_np/167 在地址 ffff8881056a8000 读取
    __asan_memcpy+0x23/0x60 kmemdup_nul+0x43/0x80 iscsi_target_locate_portal+0x48d/0x1180 iscsi_target_login_thread+0x19a9/0x3350 按任务 167 分配：__kmalloc_cache_noprof+0x158/0x370 iscsi_target_login_thread+0x971/0x3350 属于大小为 8192 的缓存 kmalloc-8k 分配的 8192 字节区域 伪造第二个登录 PDU 反而到达另一个阅读器， 在同一缓冲区中：
    缺陷：KASAN：在地址 ffff888104d10000 的 kmemdup_nul+0x43/0x80 中的 slab-out-bound 按任务 kworker/1:1/50 读取大小为 8193 工作队列：isert_login_wq iscsi_target_do_login_rx __asan_memcpy+0x23/0x60 kmemdup_nul+0x43/0x80 iscsi_decode_text_input+0xc6/0x11c0 iscsi_target_do_login+0x261/0x1470 iscsi_target_do_login_rx+0x51d/0x7d0 未暴露基于 TCP 的 iscsit： iscsit_get_login_rx（） 使用 iscsi_target_check_login_request（） 验证声明的长度，然后从套接字中准确读取该字节数，因此声明的长度控制到达的量，而不是从已填充的缓冲区复制出来的量。isert 完全不会调用 iscsi_target_check_login_request（）。拒绝其声明的 DataSegmentLength 超过已接收内容的登录 PDU，在两个到达 isert_rx_login_req（） 的路径中：
    isert_get_login_rx（） 用于第一个登录 PDU，isert_login_recv_done（） 用于其之后的 PDU。允许 dlength <= login_req_len，因为接收的计数最多可以包含三个字节的 iSCSI 填充。检查就位后，复制不能再超过复制：已发布的登录 SGE ISER_RX_PAYLOAD_SIZE，因此login_req_len不能超过 MAX_KEY_VALUE_PAIRS，并且 isert_rx_login_req（） 中的 min（） login_req_len。与 29e7b925ae6d 添加的现有短 PDU 检查一样，isert_login_recv_done（） 中的拒绝在未完成login_req_comp的情况下返回，因此畸形的后续 PDU 会让登录由登录定时器停止登录，而不是立即失败。第一个 PDU 路径返回错误并立即失败。在 KASAN 下，使用 soft-RoCE （rdma_rxe） 在 7.2.0-rc4 上重现，使用的发起程序发送真正的 key=value 负载，同时在 BHS 中声明 8193，在第一个登录 PDU 上，在第二个登录 PDU 上分别运行。报告的读取大小精确跟踪声明的值;16384 和 61440 的行为相同。未修补的 3 次运行（即 3 次运行）会针对两个路径中的每一种报告，修补了 0 次（共 3 次）会针对两个路径中的每一个路径进行修补，在单个会话中交替运行，且正常登录仍可在修补后的版本上完成。（CVE-2026-90413）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - phy：qcom：qmp-usb：修复早期运行时挂起时可能的空取消引用 存在一个小窗口，运行时挂起回调可能会在 pm_runtime_enable（） 之后和 pm_runtime_forbid（） 之前运行。在这种情况下，发生崩溃的原因在于运行时暂停/恢复取消引用 qmp->phy 指针，其尚未初始化：
    'if （！qmp->phy->init_count） {' 如果用户在 qmp phy 初始化之前通过 sysfs 属性重新启用 runtime-pm，也会发生此情况。与其他 qcom phy 驱动程序类似，引入可用于避免依赖可能未初始化 phy 指针的 qmp->phy_initialized 变量。（CVE-2026-90280）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：修复 RRO 3.0 的 RX 数据排队 对于 RRO 3.0，从 RRO 数据队列发布的 RX 数据应放入指标队列。这些帧在指标队列 NAPI 的上下文中处理和完成，该队列仅轮询MT_RXQ_RRO_IND列表中排队的 skb;在数据队列 id 下排队的帧会保留在该列表中，直到数据队列 NAPI 恰好运行，从而停止并重新排序 RX 数据。
    (CVE-2026-90377)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7921：添加 PCIe AER 处理程序支持，防止系统崩溃 发生 AER 错误且总线挂起时，寄存器会读取返回0xFFFFFFFF，从而导致 DMA 队列状态损坏并导致访问 q->desc[] 或 q->entry[] 时的内存访问无效。无法处理虚拟地址上的内核分页请求 ffffffc01099eac0 pc： mt76_dma_add_buf+0x124/0x188 [mt76] lr：
    mt76_dma_rx_fill+0x11c/0x1d8 [mt76] SP：ffffffc016d9bbf0 x29： ffffffc016d9bc10 x28： 0000000000000000 x27：
    0000000000000000 x26： ffffffb7855e50b8 x25： ffffffb80d04f000 x24： 00000000000000000 x23： 00000000000000ec0 x22： ffffffb796803648 x21： ffffffb796801f80 x20： ffffffb7968035f8 x19： 00000000000000ec0 x18：
    0000000000000000 x17： 000000004ec00000 x16： 000000000ec00000 x15： ffffffc01099eac0 x14： 000000004ec00000 x13： 00000000ffc5a000 x12： ffffffc016d9bc32 x11： 00000000ffffffff x10： 0000000000000002 x9：
    0000000000000000 x8 ： 0000000000000b4ac x7 ： 00000000000000a20 x6 ： ffffffb6c1806400 x5 ： 0000000000000000 x4 ： ffffffb80d04f000 x3 ： 0000000000000000 x2 ： 0000000000000001 x1 ： 0000000000ec04000 x0 ：
    ffffffb7968035f8 调用跟踪：mt76_dma_add_buf+0x124/0x188 [mt76 （HASH：1029 4）] mt76_dma_rx_reset+0xe8/0xfc [mt76 （HASH：1029 4）] mt7921_wpdma_reset+0x188/0x1b0 [mt7921e （HASH：ee48 5）] mt7921e_mac_reset+0x128/0x418 [mt7921e （HASH：ee48 5）] mt7921_mac_reset_work+0xac/0x1a8 [mt7921_common （HASH：f721 6）] process_one_work+0x188/0x514 worker_thread+0x12c/0x300 kthread+0x140/0x1fc ret_from_fork+0x10/0x30 通过此方式修复无效内存访问在将从硬件读取的 DMA 索引用作队列索引之前对其进行验证。超出范围的值（如总线挂起时返回的0xFFFFFFFF）现在被限制，因此它不会再损坏 q->head 或 q->tail。此外，在尝试重置序列之前检查 mt7921_mac_reset_work（） 中的 bus_hung 标记，在总线挂起时拒绝 MCU 消息，并在检测到无法恢复的 AER 错误时安装非操作总线操作，从而防止进一步的无效硬件访问。由于硬件限制（例如缺少连接的硬件重置引脚或缺少主机重新探测功能），受影响的 Wi-Fi 设备在发生某些错误后可能无法完全恢复到正常运行状态，即使启用了 AER 也是如此。（CVE-2026-90379）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - serial：core：在注册控制台之前执行 fallible 分配 serial_core_add_one_port（） 在 uart_configure_port（） 之后分配 uport->tty_groups，从而可能注册控制台。如果分配失败，驱动程序将展开端口，同时其控制台保持注册状态。较早的 uport->name 分配具有相关的失败路径，使状态>uart_port链接至正在释放的端口。Failslab 在控制台输出中 PL011 再现了空取消引用，并在绑定失败后再现 i.MX 控制台输出中再现了 KASAN 释放后使用。在链接和配置端口之前分配名称和tty_groups。为可选的驱动程序属性群组预留空间，因为 config_port（） 可能会在配置期间填充 uport->attr_group。（CVE-2026-90337）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smb/server：修复 ksmbd_session_register（） 中的会话泄漏 请参阅以程：smb2_sess_setup ksmbd_smb2_session_create __session_create atomic_set（&sess->refcnt， 2） hash_add（sessions_table， &sess->hlist， sess->id） ksmbd_session_register xa_store（&conn->sessions， sess->id， sess） // 失败 ksmbd_user_session_put atomic_dec（&sess->refcnt） // refcnt 为 1， 会话未释放 如果 xa_store（） 失败，则从 sessions_table 中删除会话并丢弃其表引用。（CVE-2026-90152）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt792x：修复 mt76_rx_poll_complete 中的释放后使用问题 mt76_rx_poll_complete 中由于争用条件而发生释放后使用问题。STA 已被删除，但 rx_status 仍有指向 STA 中 wcid 的指针。针对 mt7925_sta_pre_rcu_remove（） 中的 MLD，将链接的 wcid 指针设为空 缺陷： KASAN：invalid-access in mt76_rx_poll_complete+0x280/0x470 调用跟踪：
    dump_backtrace+0xec/0x128 show_stack+0x18/0x28 dump_stack_lvl+0x40/0xc8 print_report+0x1b8/0x710 kasan_report+0xe0/0x144 do_bad_area+0x120/0x260 do_tag_check_fault+0x20/0x34 do_mem_abort+0x54/0xa8 el1_abort+0x3c/0x5c el1h_64_sync_handler+0x40/0xcc el1h_64_sync+0x7c/0x80 mt76_rx_poll_complete+0x280/0x470 mt76_dma_rx_poll+0x114/0x51c mt792x_poll_rx+0x60/0xf8 napi_threaded_poll_loop+0xe0/0x450napi_threaded_poll+0x80/0x9c kthread+0x11c/0x158 ret_from_fork+0x10/0x20 （CVE-2026-90380）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
347599	Linux Distros 未修补的漏洞：CVE-2026-93191	medium
347598	Linux Distros 未修补的漏洞：CVE-2026-90341	high
347597	Linux Distros 未修补的漏洞：CVE-2026-92503	medium
347596	Linux Distros 未修补的漏洞：CVE-2026-90156	medium
347595	Linux Distros 未修补的漏洞：CVE-2026-93101	high
347594	Linux Distros 未修补的漏洞：CVE-2026-90292	high
347593	Linux Distros 未修补的漏洞：CVE-2026-90098	medium
347592	Linux Distros 未修补的漏洞：CVE-2026-90295	high
347591	Linux Distros 未修补的漏洞：CVE-2026-90069	high
347590	Linux Distros 未修补的漏洞：CVE-2026-93143	medium
347589	Linux Distros 未修补的漏洞：CVE-2026-90160	medium
347588	Linux Distros 未修补的漏洞：CVE-2026-90167	high
347587	Linux Distros 未修补的漏洞：CVE-2026-90429	high
347586	Linux Distros 未修补的漏洞：CVE-2026-92506	high
347585	Linux Distros 未修补的漏洞：CVE-2026-90113	high
347584	Linux Distros 未修补的漏洞：CVE-2026-90334	medium
347583	Linux Distros 未修补的漏洞：CVE-2026-90427	high
347582	Linux Distros 未修补的漏洞：CVE-2026-90410	high
347581	Linux Distros 未修补的漏洞：CVE-2026-90234	high
347580	Linux Distros 未修补的漏洞：CVE-2026-90398	high
347579	Linux Distros 未修补的漏洞：CVE-2026-90353	high
347578	Linux Distros 未修补的漏洞：CVE-2026-90179	high
347577	Linux Distros 未修补的漏洞：CVE-2026-90071	high
347576	Linux Distros 未修补的漏洞：CVE-2026-90422	medium
347575	Linux Distros 未修补的漏洞：CVE-2026-90355	high
347574	Linux Distros 未修补的漏洞：CVE-2026-92507	high
347573	Linux Distros 未修补的漏洞：CVE-2026-92486	medium
347572	Linux Distros 未修补的漏洞：CVE-2026-90157	high
347571	Linux Distros 未修补的漏洞：CVE-2026-93072	medium
347570	Linux Distros 未修补的漏洞：CVE-2026-93129	high
347569	Linux Distros 未修补的漏洞：CVE-2026-90260	high
347568	Linux Distros 未修补的漏洞：CVE-2026-90206	medium
347567	Linux Distros 未修补的漏洞：CVE-2026-93121	high
347566	Linux Distros 未修补的漏洞：CVE-2026-90319	high
347565	Linux Distros 未修补的漏洞：CVE-2026-90122	medium
347564	Linux Distros 未修补的漏洞：CVE-2026-93160	high
347563	Linux Distros 未修补的漏洞：CVE-2026-93183	medium
347562	Linux Distros 未修补的漏洞：CVE-2026-92491	medium
347561	Linux Distros 未修补的漏洞：CVE-2026-90375	medium
347560	Linux Distros 未修补的漏洞：CVE-2026-90203	high
347559	Linux Distros 未修补的漏洞：CVE-2026-90349	high
347558	Linux Distros 未修补的漏洞：CVE-2026-93131	high
347557	Linux Distros 未修补的漏洞：CVE-2026-90056	medium
347556	Linux Distros 未修补的漏洞：CVE-2026-90413	critical
347555	Linux Distros 未修补的漏洞：CVE-2026-90280	medium
347554	Linux Distros 未修补的漏洞：CVE-2026-90377	high
347553	Linux Distros 未修补的漏洞：CVE-2026-90379	high
347552	Linux Distros 未修补的漏洞：CVE-2026-90337	medium
347551	Linux Distros 未修补的漏洞：CVE-2026-90152	high
347550	Linux Distros 未修补的漏洞：CVE-2026-90380	high

检测

Nessus 的 Misc. 系列

medium

high

medium

medium

high

high

medium

high

high

medium

medium

high

high

high

high

medium

high

high

high

high

high

high

high

medium

high

high

medium

high

medium

high

high

medium

high

high

medium

high

medium

medium

medium

high

high

high

medium

critical

medium

high

high

medium

high

high