Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：ufs：core：验证字符串描述符 字符串描述符长度包括一个双字节标头，而 UTF-16 负载则在其之后启动。utf16s_to_utf8s（） 预期 UTF-16 代码单位而非字节计数。
    传递负载字节计数可使其读取范围超出描述符缓冲区。验证负载是否具有偶数字节计数，将代码单元计数传递到转换器，并分配足够的 UTF-8 输出空间。原始字符串缓冲区在描述符标头之后开始，但其大小为 bLength。从该指针复制 bLength 字节可超出响应缓冲区进行读取。分配一个归零的 bLength 大小的缓冲区，并且仅复制 UTF-16 负载。这样可保留 RPMB 设备 ID ABI 消耗的原始缓冲区大小，同时避免越界读取。（CVE-2026-92480）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/sched：帐户分类器过滤器对 memcg 的分配 tc 分类器 *_change（） 路径中的分配（过滤器对象、每个 CPU 计数器和每个过滤器 aux 数据）使用GFP_KERNEL无
    __GFP_ACCOUNT，允许非特权用户将内核内存固定到 memcg 充电之外。cls_api.c 中的共享 tcf_exts_init_ex（） 操作数组分配也未收费;此修补程序将其连同保持不明处理状态的按分类器 filter-object/percpu/aux 分配一起关闭。将GFP_KERNEL_ACCOUNT添加到： - 共享的 tcf_exts_init_ex（） 操作数组 （cls_api.c），对每个分类器的每个过滤器通用（32 个指针，256 个字节）;- cls_basic、cls_bpf、cls_cgroup、cls_flow、cls_flower、cls_fw、cls_matchall、cls_route 和 cls_u32 中的 filter-object、per-CPU-counter 和 per-filter aux 分配;- u32_init_knode（） replace-path knode 分配 （cls_u32.c），每次替换现有 knode 时分配相同的 struct tc_u_knode + sel.keys，但 create-path-only 转换遗漏了该函数。还修复cls_basic的错误路径：basic_change（） 在分配每个 CPU 计数器之前将 fnew 插入 IDR。如果 alloc_percpu（） 失败，错误路径 kfree'd fnew 不idr_remove，IDR 中会留下一个悬摆指针。通过GFP_KERNEL_ACCOUNT percpu 分配会变为可按需失败（memory.max的 memcg），从而使死路径攻击者可访问并永久烧毁句柄。在 percpu 失败路径上添加idr_remove，以匹配basic_set_parms失败路径模式。注意：
    vega@nebusec.ai 为 basic_cls 提供了一个 poc，但很容易扩展到其他分类器。
    重现缺陷的条件：- CONFIG_NET_SCHED、CONFIG_NET_CLS_*（正在使用的分类器）、CONFIG_NET_CLS_ACT、CONFIG_MEMCG、CONFIG_USER_NS CONFIG_NET_NS。- 新用户+网络命名空间中的非特权用户 （unshare -Urn），或具有 CAP_NET_ADMIN 的根用户。- 创建大量 tc 过滤器（例如，tc 过滤器添加 dev lo 入口...... <classifier> ...），同时观察 memcg 受限的 cgroup：系统 slab 增长速度远快于 memory.current，将内核内存固定在 memcg 充电之外。（CVE-2026-90099）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：拒绝 BTF 访问超出对象边界MEM_ALLOC BTF struct 遍历放宽结构大小检查，通过尾部灵活数组进行访问。这对普通的 BTF 型步行有效，但PTR_TO_BTF_ID |MEM_ALLOC值指向以静态 BTF 类型大小分配的对象。遍历 MEM_ALLOC 对象时，如果访问范围超出了结构体大小，请在应用灵活数组放宽之前拒绝该访问。将相同的策略应用到结构 ID 匹配，这样 kfunc 和 kptr 类型检查也不会超出分配的对象边界。（CVE-2026-93148）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ASoC：rt700-sdw：始终漏插座工作 仅当 rt700->hw_init 为 true 时，才会jack_detect_work jack_btn_check_work remove rt700_sdw_remove（） 耗尽。当 SoundWire 从属设备变为 UNATTACHED 时，rt700_update_status（） 将清除该状态位，但当设备初始化时，插孔工作项可能已经由 rt700_interrupt_callback（） 或 rt700_jack_init（） 排队。请勿将hw_init用作耗尽这些工作对象的删除时间保护。延迟的工作在 rt700_init（） 期间初始化，因此 remove 可无条件取消它们并将对象生命周期与 codec-private 数据生命周期配对，而非可变的硬件状态位。此问题由我们的静态分析工具发现，然后通过手动检查 SoundWire 状态、中断和删除路径确认。删除路径应根据工作对象是否存在来耗尽工作，而不是根据工作排队后可能更改的运行时硬件状态位。QEMU PoC jack_detect_work排队、模拟SDW_SLAVE_UNATTACHED，然后进入 remove。DEBUG_OBJECTS报告，移除跳过取消后，存在与 rt700 插座工作路径相关联的活动计时器/工作对象。此文件作为 RFC 发送，因为实际触发取决于 UNATTACHED 状态更新后的 SoundWire 核心删除顺序。如果在千斤顶工作仍待定时清除 hw_init 后 remove 无法运行，这是防御性生命周期清理，而不是当前系统上可访问的争用。（CVE-2026-93185）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - crypto：qat - 清除堆栈中的 AES 密钥计划 qat_alg_xts_reverse_key（） 展开堆栈上的转发 XTS AES 密钥。该计划包含关键材料，可以保留在堆栈框架中。复制后使用 memzero_explicit（） 清除临时crypto_aes_ctx。（CVE-2026-93161）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：arm_scmi：展开 TX 接收方邮箱设置失败 mailbox_chan_setup（） 在成功获取主通道后可请求额外的单向 TX 接收方通道。如果第二个请求失败，该函数会立即返回并保持主通道分配。在返回错误之前展开主邮箱通道，这样探测延迟或其他设置失败就不会使通道因以后的探测尝试而忙碌。（CVE-2026-93083）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/v3d：v3d_fence_create（） 失败时清除队列>active_job BIN、RENDER、TFU 和 CSD 的 run_job（） 回调在调用 v3d_fence_create（） 之前将传入作业分配给队列>active_job。如果 v3d_fence_create（） 失败，则回调返回 NULL 而不清除active_job，从而留下一个悬摆指针。在所有 run_job（） 回调中创建失败路径，在返回 NULL 之前清除活动作业。BIN 路径在与 v3d_overflow_mem_work（） 争用时，绕过清除进行队列>queue_lock;
    RENDER、TFU 和 CSD 路径没有并发读取器，因此清除无锁定。（CVE-2026-93192）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - virtio-net：确保 TCP 数据包不会溢出 gso_segs 用户可以在以 AF_PACKET PACKET_VNET_HDR 套接字构建的数据包中指定任何gso_size，甚至小于 TCP_MIN_GSO_SIZE = 8。同时，GSO_MAX_SIZE = 8 * GSO_MAX_SEGS = 8 * 65535。当用户使用 gso_size < 8 构建数据包时，当将 SKB 长度除以gso_size时，存在部分 GSO 溢出 16 位gso_segs字段的风险。
    将 TCP 数据包的gso_size调整为至少 TCP_MIN_GSO_SIZE = 8。请保留 UDP GSO 数据包的gso_size，因为 gso_size=1 有效，并且已在 tools/testing/selftests/net/tun.c：649 中进行明确测试。（CVE-2026-90063）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - md：开始同步之前重新检查备用更改 remove_spares（） 和 remove_and_add_spares（） 修改数组的 rdev 配置。只有在数组暂停之后，这些操作才安全。
    md_start_sync（） 在进行reconfig_mutex之前检查是否需要备用配置更改。
    但是，在获取互斥体之前，rdev 状态可能会更改，因此初始检查可过时。在这种情况下，md_choose_sync_action（） 可能会在正常 I/O 仍在访问 rdevs 时删除或替换 rdevs。
    争用可能在如下方式发生：raid10d 工作线程正常 IO ____________ _______________________
    ______________________ raid10_write_request（） wait_blocked_dev（） set Blocked set 错误跳过错误 rdev rrdev->nr_pending++ .repl_bio = bio removeable_rdev = false 。数组未暂停。lock mddev goto err_handle lock mddev （wait） 。更新 SB。清除 Blocked 。.解锁 mddev。lock mddev （acquires） remove_spares（） removeable_rdev = true raid10_remove_disk（） rdev = replacement replacement = NULL rdev_dec_pending（NULL） unlock mddev （NULL）->nr_pending-- 在这种情况下，通过空指针调用 rdev_dec_pending（），从而在尝试递减nr_pending时导致空指针取消引用。修复此问题的方式是在需要备用配置变更时暂停数组，包括非读写数组，并在进行reconfig_mutex后再次检查。如果数组尚未暂停并且现在需要进行更改，请释放互斥体、暂停数组并重新获取互斥体，然后再继续。（CVE-2026-90400）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - apparmor：修复 verify_tags（） 边界检查中的整数溢出 verify_tags（） 验证从策略 blob 解包的标签集表。对于每个集合，它会读取一个计数，并检查按该计数前进索引是否保留在 sets.table[] 中： u32 cnt = tags->sets.table[i];如果 （i+cnt >= tags->sets.size） { i、cnt 和 sets.size 都是 u32，因此 i+cnt 的求值模数为 2^32。sets.table[] 由 unpack_tagsets（） 填入 aa_unpack_u32（），因此每个条目都是取自策略 blob 的原始不受限制的 32 位字，而 verify_tags（） 是应该对其进行验证的函数。接近 U32_MAX 的计数使 sum 封装为较小的值，保护通过，然后内部循环遍历 sets.table[++i] 经过 kcalloc（size， sizeof（u32）） 分配的末尾。请注意，sets.size 以 65535 为边界，因为 unpack_tagsets（） 将其作为 u16 使用 aa_unpack_array（） 读取，因此无法通过扩大表来达到封装;纯粹通过攻击者提供的计数来达到它。当 sets.size = 2 且 sets.table = { 0， 0xffffffff }：
    i = 0： cnt = 0， guard 0 + 0 >= 2 为 false，内部循环不运行 i = 1： cnt = 0xffffffff， guard （1 + 0xffffffff） mod 2^32 == 0 >= 2 为 false，因此绕过保护，内部循环读取 sets.table[2]
    -- 一个元素超过两个元素分配 遍历一直持续到越界值碰巧是 >= hdrs.size 或访问错误，因此构建的策略会在策略加载路径上产生越界读取 （aa_replace_profiles -> aa_unpack -> unpack_policydb -> unpack_tags -> verify_tags）。unpack_tags（） 在解包 perms 和 DFA 表之前运行，因此不需要正确格式化其他表即可访问它。
    策略加载由 aa_may_manage_policy（） 进行门控，（） 检查相对于主题自己的用户命名空间而不是 init 用户命名空间的CAP_MAC_ADMIN，因此在默认 unprivileged_userns_apparmor_policy=1 的情况下，路径可从匹配层级嵌套命名空间中的非特权任务访问，而不仅可以通过全局特权任务访问。在 u64 中执行加法，使其无法封装，从而恢复预期的 i + cnt < sets.size 保证。（CVE-2026-90246）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NetworkManager-l2tp 包含一个不当输入验证漏洞，允许具有 VPN 连接创建权限的本地用户通过在有效整数之后提供包含结尾非数值内容的 mru 或 mtu 属性值来注入任意 pppd 指令。攻击者可利用未经验证的字符串通过 write_config_option（） 注入插件指令将未经验证的字符串逐字写入 pppd 选项文件，从而导致特权 pppd 进程加载受攻击者控制的共享对象并实现以根用户身份执行任意代码。（CVE-2026-93337）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ACPI：RISC-V：检查 riscv_acpi_add_prt_dep（） 中的 acpi_get_handle（） 状态 在 riscv_acpi_add_prt_dep（） 中，acpi_get_handle（） 调用可能失败，导致link_handle未初始化。通过检查 acpi_get_handle（） 返回状态修复该问题，如果失败则跳过该条目。（CVE-2026-93133）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - i3c：dw：避免 DAA 未分配设备时的越界移位 在空总线上，ENTDAA 不分配任何内容，因此 cmd->rx_len（未分配的地址计数）等于 master->maxdevs。然后 GENMASK（） 索引 master->maxdevs - cmd->rx_len - 1 变为 -1，这会使 UBSAN 跳闸。每次在 Gigabyte/AMD 服务器上启动时都会发生此情况： UBSAN：drivers/i3c/master/dw-i3c-master.c：905：12 中的移位越界 位移指数 64 对于 64 位类型“long unsigned int”过大 CPU：7 UID：0 PID：963 通信：（udev-worker） 未受感染 7.0.11-200.fc44.x86_64 #1 PREEMPT（lazy） 硬件名称：Giga Computing E163-Z34-AAH1-000/MZ33-DC1-000，BIOS R32_F45 2026 年 4 月 1 日调用跟踪： <TASK> dump_stack_lvl+0x5d/0x80 ubsan_epilogue+0x5/0x2b __ubsan_handle_shift_out_of_bounds.cold+0xd7/0x1ab dw_i3c_master_daa.cold+0x1b/0x96 [dw_i3c_master] i3c_master_do_daa_ext.part.0+0x3e/0xf0 [i3c] 未分配新设备时跳过掩码。（CVE-2026-90386）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSv4.1：解码 decode_cb_sequence_args（） 之前的零引用调用列表使用 kmalloc_objs（） 分配csa_rclists，因此每个referring_call_list启动时均未初始化。decode_rc_list（） 仅在 rcl_nrefcalls 为非零时分配rcl_refcalls。因此，具有零引用调用的有效列表会使指针未初始化，而 nfs4_callback_sequence（） 稍后会将过时的 slab 内容传递至 kfree（）。使用 kzalloc_objs（） 分配csa_rclists，以便每个rcl_refcalls成员从头开始都是 NULL，包括有效的空引用调用列表。（CVE-2026-90104）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - octeontx2-pf：修复使用 AF_XDP 零副本跟踪接收队列并在 PF/VF 探测期间进行分配af_xdp_zc_qidx设置中af_xdp_zc_qidx的空取消引用。Representor 和其他非AF_XDP路径会将指针 NULL 保留，但有数个调用站点会无条件地对其使用 test_bit（）。切换到 devlink eswitch 模式会创建表示符并运行 otx2_init_hw_resources（），这将在取消引用空位图时到达 otx2_pool_aq_init（） 并 oops。在 RSS、ethtool、XSK 和池 init 路径中每次使用 af_xdp_zc_qidx test_bit（） 之前，添加 NULL 检查。（CVE-2026-90080）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/hfi1：在延迟探测失败时释放 RX 数据 hfi1_init_dd（） 会在返回前分配共享的 AIP/VNIC RX 支持。如果稍后 hfi1_init（） 或 hfi1_register_ib_device（） 失败，init_one（） 将破坏设备数据而不调用 hfi1_free_rx（）。这会泄露 netdev_rx 及其虚拟的 netdev。在 IB 取消注册后和 postinit_cleanup（） 之前释放 RX 支持，如同在正常设备删除中执行的操作。（CVE-2026-93102）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ASoC：meson：在 realloc 失败时保持链接指针有效 meson_card_reallocate_links（） 通过连续两次 krealloc（） 调用来增加 DAI 链接和私有数据数组，并且仅在两个调用都成功后才更新所有者指针。成功的 krealloc（） 可能会移动数据：它会释放旧块并返回新块。当链接数组发生此情况并且第二个 krealloc（） 失败时，card->dai_link仍指向 krealloc（） 已释放的区块，错误路径也会释放新区块。然后，探测错误路径会调用 meson_card_clean_references（），后者会取消引用 card->dai_link，然后再次对其进行 kfree（），从而导致释放后使用和双重释放。在第一个 krealloc（） 成功之后立即提交 card->dai_link 和 card->num_links，因此指针始终引用 meson_card_clean_references（） 可以遍历和释放的有效分配。具有 __GFP_ZERO 的 krealloc（） 会初始化添加的条目，因此在错误路径上遍历这些条目是安全的。将两个失败路径简化为普通返回值后，删除转至标签和错误消息。（CVE-2026-93039）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - clocksource/drivers/samsung_pwm：切换到raw_spinlock_t类型 Samsung PWM 定时器可能用作某些旧系统上的时钟源。ARM 上启用PREEMPT_RT时，常规旋转锁将转换为休眠锁定（基于互斥体），这不能用于硬中断处理程序等原子上下文。
    将samsung_pwm_lock切换到 raw_spinlock，即使在PREEMPT_RT下，后者仍是真正的非休眠自旋锁。 （CVE-2026-90208）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：steam：拒绝短读 Steam 控制器功能报告对消息本身中的消息大小进行编码。以前，我们相信报告的大小与实际读取的大小相匹配，从而导致短读取的潜在问题。相反，我们应该实际验证读取的长度。
    (CVE-2026-90328)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - batman-adv：bla：避免由于并行声明添加而导致的 CRC 损坏 batadv_bla_add_claim（） 用于从远程主干网和本地数据包添加声明以及修改声明的主干网。当处理声明时，它需要 * 将新声明的 CRC 添加到主干 CRC * 从旧主干删除已存在的声明的 CRC，并将其添加到新主干 但是，当新的声明代码与更改主干代码并行运行时，CRC 可能无效，因为声明的backbone_gw在新的声明代码路径中更改了两次： * CPU0 为网关 A 创建声明并将其发布到声明哈希中。此时该地址的 crc16 尚未添加到 A 的 crc。* CPU1 为同一客户端处理网关 B 的声明框架，找到刚刚发布的声明，并执行所有权变更：它将指针切换到 B，从 A 的 crc（从未包含过它）中删除 crc16，然后将其添加到 B 的 crc。* CPU0 继续在创建分支后面，无条件将指针切换回 A，而不补偿 B 的 crc（其创建路径的remove_crc为 false），最后将 crc16 添加到 A 的 crc 然后，CRC 对两者都是错误的：* 声明属于 A：但 CRC 不是主干 A 的 CRC 的一部分 * 声明不属于 B： CRC 仍是主干 B 的 CRC 的一部分 此错误的 CRC 永远不会从存储的声明中重新计算。对于本地主干网声明，这也无法使用同步进行恢复。为避免此问题，请将功能拆分为明确的单独部分：* 新的声明，它始终将声明 CRC 添加到主干 CRC（但从不更改声明的已设置backbone_gw） * 现有声明的更新，其自动更改backbone_gw条目，并且仅在实际发生更改时更新两个主干 CRC （CVE-2026-93203）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：bcm2835-unicam：修复 error/remove 路径中泄漏的 asc v4l2_async_nf_add_fwnode_remote（） 分配调用 v4l2_async_nf_cleanup（） 时释放的 asc。在驱动程序路径中正确调用 v4l2_async_nf_cleanup（）。在 rmmod 之后发现 kmemleak：未引用对象0xffff000084526b80（大小 64）：comm modprobe、pid 185、jiffies 4295013512 hex 转储（前 32 字节）：01 00 00 00 00 00 00 e8 0d ff bf 00 00 ff ff ................40 83 BC 84 00 00 ff ff 60 83 BC 84 00 00 ff ff @.......'.......回溯 （CRC AC584083）： [<00000000ffb081a7>] kmemleak_alloc+0x38/0x44 [<00000000d2fd9301>] __kmalloc+0x1b0/0x250 [<000000004dd5354d>] __v4l2_async_nf_add_fwnode+0x28/0x9c [<0000000067587657>]
    __v4l2_async_nf_add_fwnode_remote+0x3c/0x64 （CVE-2026-93071）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dmaengine：dw-edma：序列化中止状态更新 dw_edma_abort_interrupt（） 在更改请求和状态之前终止 vc.lock。issue_pending（） 可获取该小窗口中的锁，观察旧忙碌状态，并跳过启动排队描述符的功能。然后，中止处理程序会将通道状态覆盖为空闲，使新的描述符永久搁浅。将描述符完成和状态转换保留在同一个关键部分中。（CVE-2026-93041）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7915：在 RCU 指针后清除互斥体下的 WCID 掩码 clear mt7915_remove_interface（） 在清除 RCU wcid 指针之前未保留任何锁定的情况下清除 WCID 掩码位。掩码是与分配器共享的非原子 RMW，分配器均在 dev->mt76.mutex 下运行;在 DBDC 上，两个 wiphy 共用一个mt76_dev，因此这在另一个频段上争用 add_interface/sta_add，并可能泄漏或重复分发 wcid。
    清除 RCU 指针之前的位还会使并发分配重用索引并发布其 wcid，随后的 NULL 分配会擦除该 wcid。清除 RCU 指针后，将清除移至现有互斥体部分。（CVE-2026-90373）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - csky：修复 syscall 跟踪路径中的 a4/a5 还原 syscall 跟踪路径会在调用 syscall 处理程序之前重新加载pt_regs的 syscall 参数。在 C-SKY ABIv2 上，在调用 syscallid 之前，第 5 和第 6 个 syscall 参数已准备好作为堆栈参数。当前代码在加载 LSAVE_A4 和 LSAVE_A5前调整 sp。由于这些偏移是相对于原始pt_regs基的，因此在更改 sp 后加载它们会获取错误的插槽。因此，使用第 5 个或第 6 个参数的跟踪 syscall 可能收到损坏的参数。这在 mmap2（） 中可见，它需要六个参数。小型 PTRACE_SYSCALL 复制器打开一个文件并映射一页： mmap（NULL， 4096， PROT_READ |PROT_EXEC， MAP_PRIVATE， fd， 0） 修复之前，跟踪的子进程会使 mmap 失败并带着 12 退出。修复后，映射成功，子进程退出并显示 0。通过在更改 sp 之前从 pt_regs 加载 a4/a5 来修复跟踪路径。测试对象：ck860f、linux-4.19.15、C-SKY abiv2 （CVE-2026-93167）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvdimm：virtio_pmem：标记生命周期的 refcount 请求 KASAN 报告 中的释放后使用 slab-use-after
    __wake_up_common（）： BUG： KASAN： __wake_up_common+0x114/0x160 中的 slab-use-after-free +/ 在地址读取大小为 8 按任务 swapper/0/0 CPU： 0 UID： 0 PID： 0 通信： swapper/0 未受感染 6.19.0-next-20260220-00006-g1eae5f204ec3 #4 PREEMPT（完整） 硬件名称： QEMU Standard PC （i440FX + PIIX， 1996）， BIOS Arch Linux 1.17.0-2-2 04/01/2014 调用跟踪： <IRQ> dump_stack_lvl+0x6d/0xb0 print_report+0x170/0x4e2 ？ __pfx__raw_spin_lock_irqsave+0x10/0x10 ？ __virt_addr_valid+0x1dc/0x380 kasan_report+0xbc/0xf0 ？__wake_up_common+0x114/0x160 ？__wake_up_common+0x114/0x160
    __wake_up_common+0x114/0x160 ？__pfx__raw_spin_lock_irqsave+0x10/0x10 __wake_up+0x36/0x60 virtio_pmem_host_ack+0x11d/0x3b0 ？sched_balance_domains+0x29f/0xb00 ？
    __pfx_virtio_pmem_host_ack+0x10/0x10 ？_raw_spin_lock_irqsave+0x98/0x100 ？
    __pfx__raw_spin_lock_irqsave+0x10/0x10 vring_interrupt+0x1c9/0x5e0 ？__pfx_vp_interrupt+0x10/0x10 vp_vring_interrupt+0x87/0x100 ？__pfx_vp_interrupt+0x10/0x10 __handle_irq_event_percpu+0x17f/0x550 ？
    __pfx__raw_spin_lock+0x10/0x10 handle_irq_event+0xab/0x1c0 handle_fasteoi_irq+0x276/0xae0
    __common_interrupt+0x65/0x130 common_interrupt+0x78/0xa0 </IRQ> virtio_pmem_host_ack（） 唤醒提交者已经释放的请求。当请求令牌仍可通过 virtqueue 访问，但 virtio_pmem_flush（） 返回并释放时，就会发生这种情况。通过引用计数 struct virtio_pmem_request修复标记生命周期。virtio_pmem_flush（） 会保留一个提交者引用，而一旦请求排队，virtqueue 会保留一个额外的引用。完成路径会丢弃 virtqueue 引用，而提交者会在返回前丢弃其引用。（CVE-2026-93196）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ntfs：拒绝对预留 $LX的非特权写入 * xattrs 拒绝用户空间中预留 $LXUID的 、 $LXGID和 $LXMOD$LXDEV 名称的 setxattr，除非调用方CAP_SYS_ADMIN。 （CVE-2026-90132）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/smc：在 memset 之前释放 smc_llc_flow_stop（） 中的待定 qentry smc_llc_flow_stop（） 重置具有伪装 memset 的流结构： spin_lock_bh（&lgr->llc_flow_lock）;memset（flow， 0， sizeof（*flow））;flow->type = SMC_LLC_FLOW_NONE;spin_unlock_bh（&lgr->llc_flow_lock）;如果此时 flow->qentry 不是 NULL，指针将被覆盖而不释放分配，从而泄漏一个 kmalloc 对象。迟到的重复CONFIRM_LINK或ADD_LINK_CONT消息可在等待程序通过 smc_llc_flow_qentry_clr（） 耗用合法消息之后，但在流完成且 smc_llc_flow_stop（） 运行之前（使指针为空，但使 flow->type 为非零） 之前，设置 flow->qentry。在该窗口中，重复项会隐藏到 flow->qentry 中，然后在 smc_llc_flow_stop（） 将 struct 清零时丢失。在 memset 之前调用锁内部的 smc_llc_flow_qentry_del（）。smc_llc_flow_qentry_del（） 在释放之前已检查 flow->qentry，因此没有条目待定的正常情况是 no-op。(CVE-2026-90107)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - irqchip/gic-v3-its：防止 its_vpe_irq_domain_alloc（） 中的泄漏 当 its_irq_gic_domain_alloc（） 失败时，以下 its_vpe_irq_domain_free（） 无法为相应中断调用 its_vep_teardown（），从而导致资源泄漏。在错误处理路径中调用 its_vpe_teardown（） 以避免泄漏。[ tglx：
    按摩更改日志 ] （CVE-2026-92524）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cxl/features：拒绝大于输出缓冲区计数的 Get Feature 计数 cxlctl_get_feature（） 会根据用户的 fwctl_rpc.out_len 调整其输出缓冲区的大小，但设备会指示将 cxl_mbox_get_feat_in.count 字节写入 rpc_out->负载，这是一个单独的用户控制值。没有任何边界对out_len计数，因此具有大量计数的小out_len会使 kvzalloc（） 的缓冲区溢出。可从 FWCTL_RPC 访问堆 OOB 写入。在分配之前，拒绝计数超过可用有效负载空间的请求。
    (CVE-2026-93079)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipvs：修复 FTP 帮助程序端口/地址解析中的整数溢出 ip_vs_ftp_get_addrport（） 将十进制数累积到__u16 （hport） 和未签名字符 （p[]） 中而不检查溢出。具有超长端口或地址八进制数的构建的 FTP PASV/EPSV 响应封装该值，因此帮助程序使用截断的端口/地址配置数据连接。netfilter conntrack FTP 帮助程序存在相同的缺陷，已在提交 2b413fc689ba 中修复（netfilter：nf_conntrack_ftp：避免 u16 溢出）。在此处应用等效补丁：将端口累加器加宽至 u32，拒绝高于 65535 的值，并拒绝高于 255 的地址八进制数。（CVE-2026-90141）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - blk-cgroup：跳过 blkcg_activate_policy（） 中即将终止的 blkg 在区块设备上切换 IO 计划程序时，blkcg_activate_policy（） 可与并发 blkcg 删除争用，从而导致 rcu_accelerate_cbs 中发生释放后使用。T1： T2： blkg_destroy kill（&blkg->refcnt） // blkg->refcnt=1->0 blkg_release // call_rcu（__blkg_release） ...blkg_free_workfn ->pd_free_fn（pd） elv_iosched_store elevator_switch ...
    迭代 blkg 列表 blkg_get（blkg） // blkg->refcnt=0->1 list_del_init（&blkg->q_node） blkg_put（pinned_blkg） // blkg->refcnt=1->0 blkg_release // 再次call_rcu rcu_accelerate_cbs // uaf 通过在获取对 blkg 的引用之前检查 hlist_unhashed（&blkg->blkcg_node） 来修复此问题。这与 blkg_destroy（） 中用来检测 blkg 是否已被销毁的检查是一样的。如果 blkg 已反哈希，请跳过处理，因为它将被销毁。（CVE-2026-90325）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - module/dups：修复kmod_dup_req生命周期处理中的释放后使用 kmod dups 代码使用 RCU 确保不再引用 kmod_dup_req 实例之后才会释放该实例。释放实例时，kmod_dup_request_delete（） 函数会将kmod_dup_req从dup_kmod_reqs列表中删除，通过 synchronize_rcu（） 等待，最后将其释放。但是，这无法正常工作，因为引用 kmod_dup_request_exists_wait（） 中实例的并行用户不会进入 RCU 读取端关键部分。
    这可导致释放后使用。kmod_dup_request_exists_wait（） 函数可能需要在阻断等待期间保留对 kmod_dup_req 实例的有效引用，直到相应的 modprobe 命令完成。因此，它不适用于 RCU。通过将 kmod_dup_req 的生命周期管理更改为使用引用计数来修复此问题。（CVE-2026-90291）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dpll：修复拆卸争用期间 dpll_device_ops（） 中的空取消引用 dpll 设备的最后一个所有者取消注册而外部驱动程序仍通过 dpll_pin_on_pin_register（） 保留其上的 PIN 时，dpll 对象会保持活动状态，并且注册列表为空。在取消注册之前排入队列的 pin 通知（例如 ice 对zl3073x_i2c删除做出反应）然后穿过 pin->dpll_refs 进入 dpll_device_ops（），这会使 WARN_ON 跳闸并取消引用丢失的注册。dpll_lock 无法提供帮助，因为通知工作在取消注册的驱动程序获取锁定之前已排队。将空注册列表视为合法的暂时状态。使 dpll_priv（） 和 dpll_device_ops（） 在该情况下返回 NULL 并使每个从引脚解析设备的引脚 netlink 路径跳过此类 dplls。dpll_cmd_pin_get_one（） 选择具有实时注册的引用并在无时返回 -ENODEV，引脚 dumpit 跳过此类引脚而不是中止转储，dpll_msg_add_pin_dplls（） 和频率、esync、参考同步和相位调整集路径跳过死引用，dpll_pin_parent_device_set（） 使用 dpll_device_get_by_id（） 验证父引用。
    dpll_pin_register（） 是上一个未经检查就取消引用设备 ops 的调用程序，因此将其频率监控验证移到 dpll_lock 下，并容忍此处的注册缺失。空注册列表等同于已清除的 DPLL_REGISTERED 标记，这两种转换都发生在 dpll_device_register（） 和 dpll_device_unregister（） 的dpll_lock下。对于 dplls 全部消失的引脚，引脚通知现在会通过 -ENODEV 删除而不是崩溃，核心中的所有调用程序都会忽略该返回值。
    WARNING： drivers/dpll/dpll_core.c：1092 at dpll_device_ops+0x24/0x40， CPU#83： kworker/u576：3/23471 模块链接于： ...冰 ...zl3073x_i2c（-） ...ZL3073X ... 工作队列：ice_dpll_wq ice_dpll_pin_notify_work [ice] RIP：0010：dpll_device_ops+0x24/0x40 调用跟踪： <TASK> dpll_cmd_pin_get_one+0x336/0x520 dpll_pin_event_send+0x82/0x140 dpll_pin_on_pin_unregister+0xbb/0x160 ice_dpll_pin_notify_work+0x1bc/0x1f0 [ice] process_one_work+0x19e/0x370 worker_thread+0x1a6/0x310 kthread+0xe4/0x120 ret_from_fork+0x1a1/0x270 ret_from_fork_asm+0x1a/0x30 </TASK> ---[ end trace 000000000000000000 ]--- 缺陷：内核空指针取消引用，地址：0000000000000010 #PF：内核模式下的监督人读取访问权限 #PF：error_code（0x0000）
    - 不存在页面 （CVE-2026-90144）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - inetpeer：使用 SipHash 随机化 RB 树节点比较 inetpeer 速率限制系统将对等机条目存储在远程 IP 地址上以确定性键控的红黑树中。由于树查找使用标准字典比较 （inetpeer_addr_cmp） 遍历 RB 树，因此路径外的攻击者可以预测树的确切拓扑和查找期间遍历的节点序列（gc_stack候选列表）。通过将确定性树遍历与激进垃圾收集（树大小超过 inet_peer_threshold 时触发）相结合，攻击者可选择性地强制逐出目标 inet_peer 节点。随后在收到新数据包时重新创建被驱逐的节点时，其速率限制令牌存储桶（rate_tokens、rate_last）将重置为满容量。这将创建一个边信道原语，允许路径外攻击者绕过 IP 密钥 ICMP 速率限制并推断开放的 UDP 端口（类似于 SAD DNS 类型的攻击）。通过使用具有通过 net_get_random_once（） 初始化的密钥 （inetpeer_hash_key） 的 SipHash 随机化 RB 树节点比较逻辑来缓解此问题。树中的节点按 SipHash（addr， key） 排序，而非原始 IP 地址。由于外部实体不知道密钥，因此路径外的攻击者无法预测树状结构布局和查找遍历路径，从而破坏了确定性逐出小工具。在 struct inet_peer 中缓存计算的 64 位 SipHash（哈希），并在 inet_getpeer（） 的开头计算一次目标哈希 （dhash），以避免在 RB 树遍历的每一步重新计算 SipHash。（CVE-2026-90110）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：拒绝超过 u32 max 的 rdonly/rdwr_buf_size kfunc 参数 check_kfunc_args（） 会检测名为 rdonly_buf_size 或 rdwr_buf_size 的 kfunc 参数，并将 reg->var_off.value 存储到 meta->r0_size （u64） 中，且不对其进行绑定。check_kfunc_call（） 稍后将该值复制到返回寄存器的mem_size字段中：meta->r0_size = reg->var_off.value;...regs[BPF_REG_0].mem_size = meta.r0_size;
    regs[BPF_REG_0].mem_size 是 u32。设置了上限 32 位的常量会被截断，而不是造成加载时拒绝，因此校验器会针对 kfunc 返回的任何分配记录带有大约 4 GiB mem_size的PTR_TO_MEM寄存器。以后对该寄存器的访问检查使用截断的错误边界。拒绝在设置元>r0_size时超过U32_MAX的 rdonly_buf_size/rdwr_buf_size 值。（CVE-2026-93125）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HP 已发现并修复 HPLIP 内多个外部报告的漏洞。这些发现影响到多个软件组件，这些组件在某些情况下可能造成远程代码执行、权限升级、拒绝服务、信息泄露或未经授权的文件修改。（CVE-2026-91104）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：arm_scmi：修复传输设备拆卸查找 SCMI 传输设备被故意排除在正常 SCMI 总线匹配之外，因此协议驱动程序无法绑定到内部传输子项。但是，scmi_device_destroy（） 使用相同的协议/名称查找来查找在通道拆卸期间必须取消注册的设备。拆分匹配帮助程序，以便驱动程序匹配仍会跳过传输设备，而显式子查找可以找到它们进行拆卸。使用共享传输设备名称前缀宏进行匹配和名称生成。由于传输设备名称派生自方向和协议 ID，因此在创建或查找传输设备之前，拒绝重复的协议通道设置。这可防止具有重复协议子节点的畸形固件重复使用现有传输设备，然后在重复的 IDR 插入失败时将其销毁。（CVE-2026-93080）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：修复读取 bpf 链接信息时潜在的 UAF 在 bpf_link_show_fdinfo 和 bpf_link_get_info_by_fd 中，访问 link->prog 时不保持任何锁定。如果通过 bpf_link_update 并发替换程序，则可能会释放旧程序，从而导致潜在的 UAF 问题。通过在 RCU 保护下访问 link->prog 来修复此问题，以安全获取指针并在读取其字段时保证其生命周期。（CVE-2026-90392）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - batman-adv：dat：以原子方式更新 MAC 地址 在 batadv_dat_entry_add（） 中更新 MAC 地址时，使用简单的复制函数完成。并行阅读器可能只能看到此更新的部分内容。在最糟糕的情况下，阅读器正在通过网络传输更新后的一半 MAC 地址，或正在使用它创建 ARP 响应 - 从而使 ARP 缓存中毒。atomic64_t可用于存储 MAC 地址的 48 位。
    然后，读卡器会看到旧的 mac 地址或新的 mac 地址 - 绝不会同时看到两者。
    (CVE-2026-93204)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：MGMT：在取消 HCI 命令时将其释放 mgmt_hci_cmd_sync（） 会使用空破坏回调将待定命令排队，因此仅在 send_hci_cmd_sync（） 运行时将其释放。会泄漏已取消的条目，因为 _hci_cmd_sync_cancel_entry（） 在没有破坏回调时不会释放 entry->data，而当控制器未注册时 hci_cmd_sync_clear（） 会取消每个待定条目。也没有其他项目回收它：mgmt_pending_new（） 不会将命令放在 hdev->mgmt_pending。该泄露也会固定 mgmt_pending_new（） 获取的套接字引用，因此从不释放管理套接字。从破坏回调中释放命令。现在空的 done 标签被直接返回替换。（CVE-2026-90252）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - btrfs：重试非最新的 Merkle 作品集的真实性读取 btrfs_read_merkle_tree_page（） 可在映射中找到非最新的作品集。采用 folio 锁定之后，当前代码将该状态视为读取错误并返回 -EIO。这会使之前的暂时性读取失败变得粘滞。如果失败的读取在映射中留下了非最新的作品集，则后续调用方会找到该作品集并失败，而不是重试读取。保留现有页面缓存插入和锁定顺序，但在映射中发现非最新的作品集时重新尝试 Merkle 项目读取。此外，当 read_key_bytes（） 失败时，请解锁作品集，以便后续调用方可将其锁定并重试读取。（CVE-2026-90262）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - rpmsg：glink：修复驱动程序分离期间端点破坏中的死锁 在驱动程序分离期间，设备核心在驱动程序的删除回调链中保留设备互斥体。当 rpmsg 端点在拆卸过程中遭到破坏时，GLINK 端点破坏实现会尝试取消注册底层 rpmsg 设备。注销会调用 device_del（），后者会尝试重新获取堆栈上已经占据较高位置的相同设备互斥体，进而造成 rmmod 无限期挂起。死锁表现在以下调用链中：[<0>] device_del+0x44/0x414 <- 尝试获取相同的互斥体 [<0>] device_unregister+0x18/0x34 [<0>] rpmsg_unregister_device+0x28/0x4c [<0>] qcom_glink_remove_rpmsg_device+0x70/0xc0 [<0>] qcom_glink_destroy_ept+0x58/0xbc [<0>] rpmsg_dev_remove+0x50/0x60 [<0>] device_remove+0x4c/0x80 [<0>] device_release_driver_internal+0x1cc/0x228 <- 获取设备互斥体 [<0>] driver_detach+0x4c/0x98 [<0>] bus_remove_driver+0x6c/0xbc [<0>] driver_unregister+0x30/0x60 [<0>] unregister_rpmsg_driver+0x10/0x1c [<0>] fastrpc_exit+0x28/0x38 [fastrpc] [<0>] __arm64_sys_delete_module+0x1b8/0x294 [<0>] invoke_syscall+0x48/0x10c [<0>] el0_svc_common.constprop.0+0xc0/0xe0 [<0>] do_el0_svc+0x1c/0x28 [<0>] el0_svc+0x34/0x108 [<0>] el0t_64_sync_handler+0xa0/0xe4 [<0>] el0t_64_sync+0x198/0x19c 端点销毁内部的 rpmsg 设备注销是多余的。在两种触发端点销毁的上下文中：- 驱动程序分离路径：驱动程序核心已关闭 rpmsg 设备。- 通道关闭路径：rpmsg 设备在端点销毁之前已经取消注册。删除多余的取消注册以修复死锁。（CVE-2026-93098）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cxl/features：将 Get Feature 输出大小限制到剩余缓冲区 cxl_get_feature（） 读取循环中的功能，但每次迭代都会传递固定size_out作为输出容量。在最后一次部分迭代中，缓冲区的剩余空间较少，因此返回超过要求的内存的设备可feat_out溢出。使用已经跟踪剩余空间的每迭代大小data_to_rd_size作为输出容量。
    (CVE-2026-93077)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - md/md-llbitmap：破坏时停止后台程序定时器 rearm llbitmap_destroy（） 在刷新md_llbitmap_io_wq前删除pending_timer。但是，删除定时器之后，daemon_work仍可排队或运行，且当发现尚未准备好刷新的脏区块时，后台程序路径可再次pending_timer。如果在拆卸期间发生此情况，则在释放 llbitmap 之后pending_timer可保持布防状态，并在稍后取消引用释放的内存。向 llbitmap->flags 添加一个BITMAP_SHUTDOWN位，在删除定时器前对其进行设置，并使定时器和后台程序路径在拆卸开始后停止排队或重新武装工作。在刷新共享工作队列之前取消daemon_work，这样任何已排队的后台程序实例都无法与释放的争用。使用 timer_shutdown_sync（），以便在拆卸之前通过关闭检查的后台程序实例之后无法重新武装定时器。BITMAP_SHUTDOWN 是仅限运行时的状态。读取和更新 llbitmap 超级块时将其屏蔽，这样就永远不会从磁盘加载或持久化到磁盘关闭状态。
    (CVE-2026-90276)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sunrpc：xprtsock：使用 READ_ONCE/WRITE_ONCE 注解共享套接字回调 xprtsock 使用普通存储替换和还原实时套接字上的 sk->sk_data_ready 和 sk->sk_write_space，xs_udp_do_set_buffer_size（） 通过普通加载调用 sk->sk_write_space。这些回调指针与可以同时读取或调用它们的通用套接字和协议路径共享，因此 xprtsock 需要与经过验证的 4022 系列在其他地方应用的相同的 READ_ONCE（）/WRITE_ONCE（） 回调可见性协定。当 SUNRPC 接管 AF_LOCAL、UDP 或 TCP 套接字并稍后在拆卸期间还原较低套接字的回调时，另一个 CPU 可能仍会保留较早的回调快照。普通的替换/还原模式会留下与经过验证的 4022 系列相同的可见性漏洞，因此在实时回调字段已还原到较低套接字处理程序之后，过时快照仍可调用 xs_data_ready（） 或 xs_udp_write_space（）。对共享sk_data_ready使用 WRITE_ONCE（），xs_local_finish_connecting（）、xs_udp_finish_connecting（）、xs_tcp_finish_connecting（） 和 xs_restore_old_callbacks（） 中的sk_write_space存储。在 xs_udp_do_set_buffer_size（） 中将 READ_ONCE（） 用于直接sk_write_space调用。这与所需的回调可见性协定相匹配，同时保持相邻sk_state_change和sk_error_report处理不变。（CVE-2026-90235）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：不允许 cgroup 中的 bpf_{g，s}etsockopt（） UNIX getname 挂钩 _bpf_setsockopt） 和 _bpf_getsockopt（） 调用 sock_owned_by_me（） 以获取完整套接字，以便这些帮助程序预期套接字锁定保持不变。
    BPF_CGROUP_UNIX_GETPEERNAME 和 BPF_CGROUP_UNIX_GETSOCKNAME 在未取得套接字锁定的情况下运行 BPF 程序。因此，附加到任一挂钩的程序可通过调用 bpf_setsockopt（） 或 bpf_getsockopt（） 来触发 sock_owned_by_me（） 警告。不允许对 CGROUP_UNIX_GETPEERNAME 和 CGROUP_UNIX_GETSOCKNAME禁用 bpf_setsockopt（） 和 bpf_getsockopt（）。（CVE-2026-90159）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：将会话状态更改范围限定为绑定连接 ksmbd_all_conn_set_status（） 将设置了暂时性绑定标记的每个连接视为属于目标 SessionId。注销或会话替换可因此将不相关的连接移动至NEED_RECONNECT或NEED_SETUP。传递目标会话本身并使用连接本地会话 xarray 或会话的永久通道列表选择连接。等待请求耗尽时使用相同的关联测试。在request_lock下序列化整个会话的状态变更，且不覆盖 EXITING 或 RELEASING。使用相同的锁定保护关闭转换，以便并发会话更新无法恢复关闭的连接。
    (CVE-2026-90154)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - null_blk：创建默认设备后注册 configfs 子系统 在 null_init（） 中，configfs_register_subsystem（） 当前先于 register_blkdev（） 运行，因此当 null_blk 构建为模块时，来自用户空间的争用 mkdir（） + poweron 可在 null_major 仍为 0 时达到 null_add_dev（）。
    __add_disk（） 随后命中 WARN_ON（disk->minors） （major=0 with minors！=0） 并失败： [root@fedora ~]# [2366.521436] WARNING： block/genhd.c：476 at __add_disk+0x8a7/0xde0， [ 2366.523552] 模块链接于：
    null_blk（+） nft_fib_inet nft_fib_ipv4 nft_fib_ipv6 nft_fib [ 2366.529081] CPU：26 UID：0 PID：1600 通信：
    sh 未受感染 7.2.0-rc1+ #66 PREEMPT（full） ......[ 2366.547251] 调用跟踪： [ 2366.547575] [2366.547831<TASK>] ？ _raw_spin_lock+0x84/0xe0 [ 2366.548260] add_disk_fwnode+0x114/0x560 [ 2366.548739] null_add_dev+0x102d/0x1b80 [null_blk] [ 2366.549310] ？ __pfx_null_add_dev+0x10/0x10 [null_blk] [2366.549906] ？ mutex_lock+0xde/0x1c0 [ 2366.550361] ？ __pfx_mutex_lock+0x10/0x10 [ 2366.550827] nullb_device_power_store+0x1e7/0x280 [null_blk] [ 2366.551499] ？ __pfx_nullb_device_power_store+0x10/0x10 [null_blk] [ 2366.552177] ？ __kmalloc_cache_noprof+0x1f5/0x470 [ 2366.552748] ？ configfs_write_iter+0x35c/0x4e0 [ 2366.553242] configfs_write_iter+0x286/0x4e0 [ 2366.553787] vfs_write+0x52d/0xd00 [ 2366.554169] ？ __pfx_vfs_write+0x10/0x10 [ 2366.554679] ？
    __pfx___css_rstat_updated+0x10/0x10 [ 2366.555196] ？ fdget_pos+0x1cf/0x4c0 [ 2366.555649] ksys_write+0xfc/0x1d0 ...... 此外，err_dev路径会在 configfs 仍注册时销毁nullb_list上的所有设备。如果争用 mkdir（） + poweron 将用户设备添加到列表中，则 null_destroy_dev（）->null_free_dev（） 将释放用户设备的nullb_device，但仍可访问 /sys/kernel/config/nullb/<name> 。对该项目的任何用户空间访问都将触发 UAF。
    为简单起见，请将 configfs_register_subsystem（） 移动到末尾以解决上述问题。
    (CVE-2026-90189)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/msm：修复 recover_worker get_pid_task（） 中的task_struct引用泄漏，递增任务引用计数，但 else 分支中缺少相应的 put_task_struct（），从而导致每次 GPU 挂起恢复时都会泄漏引用。拼布： https://patchwork.freedesktop.org/patch/730662/ （CVE-2026-93059）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - thermal/drivers/rcar：修复 probe（） 中的错误检查 此代码在检查 thermal_zone_device_register_with_trips（） 是否失败之前意外调用了 thermal_zone_device_enable（）。
    将调用移动到稍后以避免 priv->zone 的错误指针取消引用。驱动程序的工作方式不同，具体取决于我们是否使用 OF thermal。如果使用 OF thermal，则使用 thermal_add_hwmon_sysfs（），如果不使用 thermal_zone_device_enable（）。如果其中任何一个失败，我们可以共享相同的错误检查。移动 thermal_zone_device_enable（） 调用也更干净一些。原始代码使用三步流程进行清理：1. 调用 thermal_zone_device_unregister（） 进行清理。2. 将 priv->zone 设置为错误指针以保留错误代码。3. 将 priv->zone 设置为 NULL 以避免在 rcar_thermal_remove（） 函数中再次调用 thermal_zone_device_unregister（）。现在我们可以直接执行 goto error_unregister，rcar_thermal_remove（） 会正确处理清除。（CVE-2026-93142）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
347549	Linux Distros 未修补的漏洞：CVE-2026-92480	high
347548	Linux Distros 未修补的漏洞：CVE-2026-90099	medium
347547	Linux Distros 未修补的漏洞：CVE-2026-93148	high
347546	Linux Distros 未修补的漏洞：CVE-2026-93185	medium
347545	Linux Distros 未修补的漏洞：CVE-2026-93161	high
347544	Linux Distros 未修补的漏洞：CVE-2026-93083	medium
347542	Linux Distros 未修补的漏洞：CVE-2026-93192	high
347541	Linux Distros 未修补的漏洞：CVE-2026-90063	medium
347540	Linux Distros 未修补的漏洞：CVE-2026-90400	high
347539	Linux Distros 未修补的漏洞：CVE-2026-90246	high
347538	Linux Distros 未修补的漏洞：CVE-2026-93337	high
347537	Linux Distros 未修补的漏洞：CVE-2026-93133	medium
347536	Linux Distros 未修补的漏洞：CVE-2026-90386	high
347535	Linux Distros 未修补的漏洞：CVE-2026-90104	critical
347534	Linux Distros 未修补的漏洞：CVE-2026-90080	medium
347533	Linux Distros 未修补的漏洞：CVE-2026-93102	medium
347532	Linux Distros 未修补的漏洞：CVE-2026-93039	high
347531	Linux Distros 未修补的漏洞：CVE-2026-90208	medium
347530	Linux Distros 未修补的漏洞：CVE-2026-90328	high
347529	Linux Distros 未修补的漏洞：CVE-2026-93203	high
347528	Linux Distros 未修补的漏洞：CVE-2026-93071	medium
347527	Linux Distros 未修补的漏洞：CVE-2026-93041	medium
347526	Linux Distros 未修补的漏洞：CVE-2026-90373	medium
347525	Linux Distros 未修补的漏洞：CVE-2026-93167	high
347524	Linux Distros 未修补的漏洞：CVE-2026-93196	high
347523	Linux Distros 未修补的漏洞：CVE-2026-90132	high
347522	Linux Distros 未修补的漏洞：CVE-2026-90107	medium
347521	Linux Distros 未修补的漏洞：CVE-2026-92524	medium
347520	Linux Distros 未修补的漏洞：CVE-2026-93079	high
347519	Linux Distros 未修补的漏洞：CVE-2026-90141	high
347518	Linux Distros 未修补的漏洞：CVE-2026-90325	high
347517	Linux Distros 未修补的漏洞：CVE-2026-90291	high
347516	Linux Distros 未修补的漏洞：CVE-2026-90144	medium
347515	Linux Distros 未修补的漏洞：CVE-2026-90110	critical
347514	Linux Distros 未修补的漏洞：CVE-2026-93125	high
347513	Linux Distros 未修补的漏洞：CVE-2026-91104	critical
347512	Linux Distros 未修补的漏洞：CVE-2026-93080	high
347511	Linux Distros 未修补的漏洞：CVE-2026-90392	high
347510	Linux Distros 未修补的漏洞：CVE-2026-93204	medium
347509	Linux Distros 未修补的漏洞：CVE-2026-90252	high
347508	Linux Distros 未修补的漏洞：CVE-2026-90262	medium
347507	Linux Distros 未修补的漏洞：CVE-2026-93098	medium
347506	Linux Distros 未修补的漏洞：CVE-2026-93077	medium
347505	Linux Distros 未修补的漏洞：CVE-2026-90276	medium
347504	Linux Distros 未修补的漏洞：CVE-2026-90235	critical
347503	Linux Distros 未修补的漏洞：CVE-2026-90159	medium
347502	Linux Distros 未修补的漏洞：CVE-2026-90154	high
347501	Linux Distros 未修补的漏洞：CVE-2026-90189	high
347500	Linux Distros 未修补的漏洞：CVE-2026-93059	medium
347499	Linux Distros 未修补的漏洞：CVE-2026-93142	medium

检测

Nessus 的 Misc. 系列

high

medium

high

medium

high

medium

high

medium

high

high

high

medium

high

critical

medium

medium

high

medium

high

high

medium

medium

medium

high

high

high

medium

medium

high

high

high

high

medium

critical

high

critical

high

high

medium

high

medium

medium

medium

medium

critical

medium

high

high

medium

medium