Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2：将心跳信息回调与 o2net 拆卸修补程序系列同步 ocfs2：强化心跳信息清除争用。此系列修复了 KASAN 发现的两个 OCFS2 心跳信息/o2net 拆卸争用。此修补程序（共 2 个）：
    configfs 本地节点拆卸进入 o2net_stop_listening（） 期间，心跳信息回调保持注册状态。在拆卸过程中，节点关闭事件仍可通过 o2net_disconnect_node（） 和 o2net_set_nn_state（） 运行 o2net_wq，因此后续的队列/刷新操作可发生死工作队列。KASAN 已在 __queue_work（） 中通过调用链将此问题捕获为 slab-after-use-free：KASAN slab-use-after-free in
    __queue_work+0x56/0xa90读取大小为 4 调用跟踪：dump_stack_lvl+0x66/0xa0 print_report+0xce/0x630
    __queue_work+0x56/0xa90 srso_alias_return_thunk+0x5/0xfbef5 __virt_addr_valid+0x19f/0x330 kasan_report+0xe0/0x110 __queue_delayed_work+0x58/0x1e0 queue_delayed_work_on+0xb4/0xc0 o2net_set_nn_state+0x467/0x840 o2net_disconnect_node+0x7b/0xe0 o2net_hb_node_down_cb+0x54/0x60 o2hb_run_event_list+0x236/0x2d0 o2hb_check_slot+0xad4/0xbc0 lock_release+0xc8/0x290 o2hb_check_slot+0x9ea/0xbc0 trace_hardirqs_on 0x18/0x130 o2hb_do_disk_heartbeat+0x646/0xb30 （fs/ocfs2/cluster/heartbeat.c：1079） __lock_acquire+0x466/0x2260 lockdep_hardirqs_on_prepare+0xea/0x1a0 ktime_get_with_offset+0xe9/0x230 o2hb_thread+0x14e/0x770 kthread+0x1ad/0x1f0 ret_from_fork+0x3c9/0x540
    __switch_to+0x2e9/0x730 ret_from_fork_asm+0x1a/0x30 按任务堆栈分配：kasan_save_stack+0x33/0x60 kasan_save_track+0x14/0x30 __kasan_kmalloc+0xaa/0xb0 __kmalloc_noprof+0x292/0x760
    __alloc_workqueue+0x736/0xc60 alloc_workqueue_noprof+0xb1/0x110 o2net_start_listening+0xe5/0x430 o2nm_node_local_store+0x184/0x310 configfs_write_iter+0x18a/0x210 vfs_write+0x469/0x810 ksys_write+0xd2/0x170 do_syscall_64+0x115/0x6a0 （arch/x86/entry/syscall_64.c：87） entry_SYSCALL_64_after_hwframe+0x77/0x7f 按任务堆栈释放： kasan_save_stack+0x33/0x60 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x5f/0x80 kfree+0x313/0x590 rcu_core+0x4f4/0x1320 handle_softirqs+0x156/0x660 queue_delayed_work_on o2net_set_nn_state o2net_disconnect_node o2net_hb_node_down_cb o2hb_run_event_list 保持心跳信息回调的注册，以便仲裁状态仍跟踪节点状态， 但一旦本地拆卸开始，就阻止它们驱动 o2net 重新连接/断开连接工作。在破坏o2net_wq之前将传输标记为离线，等待任何正在传输的心跳信息回调完成，并延迟启动重播，直到通过 o2nm_this_node（） 发布新的本地节点。回放还必须保持心跳信息回调传递的序列化。否则，可以复制实时节点快照，实时 hb_down 回调可以为对等机安装 -ENOTCONN，而过时的重放可以为该对等机调用 o2net_hb_node_up（），即使心跳信息已经关闭，仍能将重新连接排成正轨。有缺陷的情况涉及两条路径，每一列显示该路径中的顺序：
    local-node teardown： heartbeat node-down 回调：1. configfs local-off 进入 1。o2hb_run_event_list（） 调用 o2net_stop_listening（）。o2net_hb_node_down_cb（）。2. 拆卸头 2.回调到达 destroy_workqueue（o2net_wq）。o2net_disconnect_node（） 和 o2net_set_nn_state（）。3. 拆卸破坏和 NULL 3.回调刷新或排队o2net_wq。解决o2net_wq。（CVE-2026-90302）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/amdgpu/pm/powerplay：Vega10 查找中的边界检查电压指数 VBIOS 解析的表中的 vddInd、vddciInd 和 mvddInd 索引到 vddc、vddci 和 vddmem 查找表，而无需跨 9 个站点进行边界检查。任何索引超出范围时返回 -EINVAL。（CVE-2026-93177）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dmaengine： dw-edma： 终止所有描述符而不回调 DMA 引擎客户端文档在 Documentation/driver-api/dmaengine/client.rst 的终止 API 部分中说明： 不会针对任何不完整的传输调用任何回调函数。当延迟的 STOP 到达中断处理程序时，dw-edma 改为调用 vchan_cookie_complete（）。这会为活动描述符计划回调，并使其他已发布或提交的描述符处于排队状态。dmaengine_terminate_sync（） 之后的延迟回调可取消引用已释放的客户端状态，而剩余的描述符可能稍后重新启动到重用的缓冲区或泄漏。只要终止完成，就会将所有已发出和提交的描述符移动到终止列表。对于待定的 STOP，请从 DONE 和 ABORT 路径执行此操作。按顺序完成他们的 cookie，无需安排回调。在正在运行的传输引发中断之前，STOP 可保持待定状态。使 device_synchronize（） 在释放终止的描述符之前等待此类待定的 STOP 完成。从 free_chan_resources（） 重用，然后释放剩余的 virt-dma 资源。等待时休眠而非忙碌轮询，并在现有超时到期时发出警告。
    (CVE-2026-93042)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - riscv、bpf：修复已签名 1 字节和 2 字节 kfunc 参数缺少的 sign-ext 在 RV64上，ABI 要求已签名 1 字节和 2 字节 kfunc 参数的 sign-extension。但是， RV64 JIT 当前不会对此类 kfunc 参数执行签名扩展。在提交 7ce090afbf72 之前（bpf：根据静态寄存器活性分析推断zext_dst），状态修剪可能会遗漏 32 位子寄存器的零扩展，从而使参数看起来像是已正确执行符号扩展，从而无意中掩盖了上述问题。
    此提交之后，就会暴露出问题，造成 kfunc_call/kfunc_call_test4 自我测试失败。通过扩展现有签名扩展逻辑来同时处理已签名的 1 字节和 2 字节 kfunc 参数，从而修复此问题。
    (CVE-2026-90195)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：终止符号扩展收窄堆栈填充中的标量 id 当溢出的标量用符号扩展收窄负载 （BPF_MEMSX） 填回时，check_stack_read_fixed_off（） 会复制溢出的寄存器，包括其标量 ID，但 coerce_reg_to_size_sx（） 随后会对填满的寄存器的值进行符号扩展。如果同一插槽还填充了普通零扩展负载 （BPF_MEM），则两个目标寄存器共享 id，但持有不同的值。之后的“if <zext-reg> == const”随后通过 sync_linked_regs（） 将符号扩展寄存器细化为其在运行时没有的值（例如，寄存器0xffffffff80000000时校验器认为0x80000000），这可转变为越界访问。当签名扩展实际更改值时，丢弃 check_mem_access（） 中签名扩展站点的共享标量 ID，以反映 check_alu_op（） 中的BPF_MOVSX处理 （no_sext = reg_umax < 2^（size*8-1））。
    (CVE-2026-93127)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：sd：修复大型池创建失败后 sd_probe（） 中的错误处理 device_add（&sdkp->disk_dev） 成功后，sd_large_pool_create（） 失败必须注销disk_dev，让 scsi_disk_release（） 释放 sdkp。检查 out_free_index kfree（） 已注册的设备并泄漏 sysfs 条目。（CVE-2026-90268）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/chrome：sensorhub：修复环处理程序中的内存越界读取问题 “max_response”和“sensor_num”从不同的 EC 命令读取：“max_response”来自 cros_ec_get_proto_info（）。ec_dev->max_response = info->max_response_packet_size - sizeof（结构ec_host_response）;- “sensor_num”来自 cros_ec_get_sensor_count（）。sensor_num = cros_ec_get_sensor_count（ec）;由于 EC 固件出现故障，“msg->insize”（即上下文中的“fifo_info_length”）可能被钳制在 cros_ec_cmd_xfer（） 中，因为“msg->insize”大于“max_response”。int fifo_info_length = sizeof（struct ec_response_motion_sense_fifo_info） + sizeof（u16） * sensorhub->sensor_num;这意味着读取字节数可能少于预期。因此，cros_ec_sensorhub_ring_handler（） 中的后续 memcpy（） 会过度读取“resp->fifo_info”缓冲区。检查 cros_ec_cmd_xfer_status（） 的返回值，如果读取的字节数与预期长度不匹配，则中止。
    (CVE-2026-93165)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hwrng：核心 - 修复注册错误中的 rng 列表 hwrng_register（rng） 执行以下操作：1. 检查 rng 是否具有名称和读取方法集 2.检查名称是否已存在 3.将 rng 添加至全局 rng_list 4。可能尝试将 rng 设置为 current_rng 如果第 4 步失败，它会返回错误。但是，它不会将 rng 从 rng_list移除，造成悬摆引用，如果调用者释放 rng，则可导致释放后使用（注册失败）。添加 list_del_init（） 清理步骤。（CVE-2026-93163）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - md/raid5：使用扇区划分 raid5_bitmap_sector_map（） 的圆形位图条带在将数组范围转换为组件扇区之前将其与完整的 RAID5 条带宽度对齐。该宽度chunk_sectors乘以数据磁盘的数量，它并不总是 2 的幂。使用 4 磁盘 RAID5、1024 扇区区块和 3 个数据磁盘重现。全条纹宽度为 3072 扇区。对于数组扇区 3072 的单扇区写入，正确的舍入给出了数组范围 [3072， 6144），该范围映射到组件范围 [1024， 2048]。旧 round_down（）/round_up（） 逻辑改为给出映射至 [0， 1024） 的 [1024， 4096]。使用基于 sector_div（） 的算术，使舍入范围与实际的 RAID5 条带宽度对齐。确定性映射器测试现在将固定组件范围报告为 [1024， 2048），而旧的基于掩码的范围为 [0， 1024]。（CVE-2026-90279）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 电源：电源：sc2731_charger：取消删除工作 USB 通知程序和初始充电器检测可计划信息>工作。删除路径会取消注册通知程序，但不会在释放 devm 分配的驱动程序数据之前取消排队或正在运行的工作。设置 remove 使用的平台 drvdata，取消注册通知程序后取消工作。此问题由静态分析工具发现。
    (CVE-2026-90394)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：gadget：aspeed_udc：检查端点 DMA 分配 ast_udc_probe（） 分配一个一致的 DMA 缓冲区，用作端点缓冲区的后备存储。ast_udc_init_ep（） 从 udc->ep0_buf 派生每个端点的缓冲区指针，因此在探测期间会取消引用失败的分配。在端点设置之前检查分配。名为 ast_udc_remove（） 的现有探测错误路径，会无条件取消注册小工具，且在 usb_add_gadget_udc（） 成功之前并不安全。添加针对探测失败的本地清理帮助程序，以便预注册失败仅展开实际初始化的资源。这是由扫描 Linux 6.16时，用于未检查的分配器返回的本地静态分析检查器发现的。已通过将其应用到当前干线并运行 checkpatch 来检查该更改。我没有 Aspeed UDC 硬件的访问权限，因此未执行运行时测试。（CVE-2026-93118）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：L2CAP：拒绝接受队列添加，除非BT_LISTEN当上一个 l2cap_sock_cleanup_listen（） 在 l2cap_sock_teardown_cb（） 中运行且状态设置为 BT_CLOSED 之后，不应将新的 sk 添加到父套接字接受队列，因为这可能导致 UAF 取消引用悬摆的父引用。
    由于访问 chan->state 时未取得一致锁定，l2cap_sock_new_connection_cb（） 可能与父项 l2cap_chan 拆卸争用： [任务 1] [任务 2] l2cap_sock_release（parent） l2cap_connect l2cap_sock_shutdown pchan = l2cap_global_chan_by_psm l2cap_chan_lock（pchan） l2cap_chan_close l2cap_sock_teardown_cb pchan->state = BT_CLOSED l2cap_chan_unlock（pchan） ------> l2cap_chan_lock（pchan） l2cap_new_connection l2cap_sock_new_connection_cb l2cap_chan_lock（pchan） <--------l2cap_chan_unlock（pchan） l2cap_sock_kill（parent） /* bt_sk（sk）->parent 悬摆 */ 在 l2cap_sock_new_connection_cb（） 中取得 sk 锁定后，通过新增对 sk_state == BT_LISTEN 的检查进行修复。在缺少的sk_state写入周围添加 lock_sock（），以避免数据争用。虽然 pchan->state 上的数据争用也应该得到修复，但这种防御性sk_state检查无论如何都可能有意义。（CVE-2026-90092）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：arm_scmi：协议绑定失败时终止句柄 当驱动程序核心发出 BUS_NOTIFY_BIND_DRIVER 时，SCMI 总线通知程序会在调用协议驱动程序探测回调之前获取 SCMI 句柄。协议探测路径仅检查是否设置了 sdev->handle。如果获取句柄后 device_link_add（） 发生故障，协议设备仍可使用有效句柄绑定，但没有指向 SCMI 父项的依赖链接。然后，并行父项取消绑定可错过子项，并在子项仍保留句柄时中断 SCMI 实例。如果协议驱动程序探测稍后失败，例如
    -EPROBE_DEFER，驱动程序核心会发出BUS_NOTIFY_DRIVER_NOT_BOUND而非BUS_NOTIFY_UNBOUND_DRIVER。
    SCMI 通知程序仅释放 BUS_NOTIFY_UNBOUND_DRIVER 上的句柄，因此每个失败的协议设备绑定都会泄漏 SCMI 实例用户引用计数，并在探测失败之后留下 sdev->handle 集。使链接帮助程序报告失败，如果无法创建链接则放弃获取的句柄。还在用于取消绑定的相同清理路径中处理BUS_NOTIFY_DRIVER_NOT_BOUND，以使失败的探测平衡较早的BUS_NOTIFY_BIND_DRIVER采集。（CVE-2026-93084）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/mellanox：mlxbf-pmc：检查 ACPI_COMPANION（） 是否为 NULL 由于 device_match_driver_override（），可强制每个平台驱动程序匹配不匹配其设备 ID 列表的设备，因此依赖于设备的 ACPI 伴随对象是否存在的平台驱动程序需要验证该对象是否存在。mlxbf_pmc_probe（） 会将 ACPI_COMPANION（） 的结果传递给 acpi_device_hid（），后者会取消引用该结果，因此将驱动程序强制绑定到没有 ACPI 伴随的设备会导致空指针取消引用。
    相应地，向 mlxbf-pmc 驱动程序添加针对空的必要 ACPI_COMPANION（） 检查，然后返回
    -ENODEV 当同伴失踪时。（CVE-2026-93115）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：拒绝 mt76_vif_link（） 中的超出范围链接 ID mt76_vif_link（） 索引 mvif->link[] 而不验证link_id，但调用程序传递 mvif->deflink_id / msta->deflink_id，它会保留 IEEE80211_LINK_UNSPECIFIED （0xf），直到添加第一个链接为止。由于 IEEE80211_MLD_MAX_NUM_LINKS 为 15，因此读取数组结尾之后的一个元素，从而别名为 mt76_vif_data.offchannel_link。可通过 mt7996_set_tsf（）/mt7996_offset_tsf（） 和 mt7996_net_fill_forward_path（） 访问。边界检查link_id并返回 NULL，从而匹配 mt7996_sta_link（） 和 mt7996_sta_link_protected（）。（CVE-2026-90350）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf、x86：修复 128 位参数的 trampoline 堆栈大小 btf_distill_func_proto（） 接受最多 16 字节的函数参数，因此 128 位标量（如 __int128）会以 arg_size == 16 到达 x86 trampoline。但目前的实现假设 __int128 参数只需要一个寄存器，因此寄存器保存区域配置不足，而 save_args（） 会覆盖相邻的堆栈槽。从 arg_size 计算所有参数的寄存器计数以修复该问题。（CVE-2026-90358）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PCI：修复探测与 dyn ID 删除并发运行时的 UAF 仅当保留了 dynids.lock 时才保证动态 ID 有效，因为 remove_id_store（） 可以释放该节点。因此，在 pci_match_device（） 中进行复制。
    另外，明确 id 参数仅在探测期间有效。（CVE-2026-90421）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cpufreq：imx6q：修复使用 devm_kcalloc（cpu_dev， ...） 分配的驱动程序重新绑定imx6_soc_volt之间的 devres 累积，其中 cpu_dev 是来自 get_cpu_device（0） 的 CPU 设备。该设备永远不会解除绑定，因此从不释放其 devres 列表，imx6q_cpufreq_remove（） 也不会释放数组。
    因此，每个探测都会添加一个在系统生命周期内保留的分配。而是针对平台设备进行分配。当驱动程序未绑定时，将释放其 devres，这正是数组想要的生命周期：imx6q_set_target（） 读取它，并且在 cpufreq_unregister_driver（） 之后可能没有任何内容达到该范围。这会使数组在取消绑定时实际消失，因此也清除 remove 和 failed-probe 路径中的文件范围指针，而不是让它指向内存 devres 即将释放。通过重新绑定 qemu 的 mcimx6ul-evk 上的驱动程序进行测试。（CVE-2026-90296）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hfsplus：当对未链接的 HFS+ 硬链接备份 inode 的最后一个开放引用关闭时，在删除密钥重建之前验证线程记录 hfsplus_delete_cat（） 通过 str == NULL 调用。在这种情况下，该函数通过 CNID 查找目录线程，并从 thread.nodeName 重新生成目录键。该重建路径直接从目录 B 树将 thread.nodeName.length 读入 fd.search_key，然后将长度 * 2 字节复制到 fd.search_key->cat.name.unicode 中。它不会首先检查找到的记录是否为线程记录或其大小是否匹配线程名称。因此，损坏的图像可提供超大的线程名称长度并使 hfs_bnode_read（） 写入超过目录搜索密钥分配。通过 hfsplus_brec_read_cat （） 读取 CNID 记录，将读取的记录绑定为 sizeof（hfsplus_cat_entry） 并验证线程记录的大小是否与 nodeName.length 完全匹配。
    这些检查共同确保接受的线程名称适合HFSPLUS_MAX_STRLEN。从经过验证的线程名称构建 delete 密钥之前拒绝非线程记录。在 hfsplus_find_cat（） 与 hfsplus_delete_cat（） 之间共享 thread-record-type 辅助函数。（CVE-2026-93095）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fbdev：kyro：验证叠加视口坐标 叠加视口端点坐标是使用 32 位无符号算术从视口原点和尺寸计算得出的。大的输入值可能会导致这些计算在将结果坐标传递到 SetOverlayViewPort（） 之前进行回绕。
    SetOverlayViewPort（） 将视口坐标打包到 16 位寄存器字段中。X 坐标在写入之前还额外调整了 +2 和 +1。在调用 SetOverlayViewPort（） 之前，验证 32 位环绕的坐标计算，并确保调整后的坐标适合其 16 位寄存器字段。由 Linux Verification Center (linuxtesting.org) 和 SVACE 发现。(CVE-2026-90245)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smb/server：修复 ksmbd_stop_durable_scavenger（） 中的无效指针取消引用 请参阅以程：
    ksmbd_launch_ksmbd_durable_scavenger durable_scavenger_running = true server_conf.dh_task = kthread_run（） // 失败，dh_task是 ERR_PTR（） server_ctrl_handle_reset ksmbd_stop_durable_scavenger kthread_stop（server_conf.dh_task） // 无效指针 （CVE-2026-90165）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7996：主 WED 连接失败时不附加 hif2 WED 如果主要 PCIe 功能的 WED 连接失败，则辅助功能的探测路径仍wed_hif2附加，使设备处于不一致的半 WED 配置中，随后会崩溃。hif2 调用还重新启用了失败的主连接刚刚关闭的 hwrro_mode。主 WED 设备处于非活动状态时跳过 hif2 WED 设置。（CVE-2026-90351）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：修复 arena 锁定失败时的 mmap_lock 死锁 由 Sashiko AI 审查报告。arena_vm_fault（） 在无法采用 arena->spinlock 时返回VM_FAULT_RETRY，但它从未采用过mmap_lock。错误路径假设已丢弃的VM_FAULT_RETRY处理程序mmap_lock并在重试时重新采用，因此mmap_lock会被占用两次并可能死锁： do_user_addr_fault（） { fault = handle_mm_fault（...）; // 调用 arena_vm_fault（） if （fault &; VM_FAULT_RETRY） goto retry; // 重新锁定 mmap_lock mmap_read_unlock（mm）; }返回 VM_FAULT_SIGBUS，原因有二：1. 我们可以保留VM_FAULT_RETRY，但随后我们必须像 __folio_lock_or_retry（） 那样，首先放弃错误锁定并自行限制重试。2. 失败的 raw_res_spin_lock_irqsave（） 已意味着检测到可能的死锁，因此重试只会再次命中相同的锁定。所以回到这里VM_FAULT_RETRY有点矫枉过正。（CVE-2026-90342）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Drivers：hv：vmbus：跳过非嵌套根分区的 VMBus 模块清理 VMBus 模块初始化函数 hv_acpi_init（） 在根分区中运行且根未嵌套在另一个 VM 中时，目前不执行任何操作。但初始化函数报告成功，因此确实加载了 VMBus 模块。实际上不需要 VMBus 功能，但必须加载 VMBus 模块以便 hv_vmbus_exists（） 能够正确应答。此外，需要 VMBus 模块的mshv_root依赖关系，如 840b740a35bf 的提交消息中所述（mshv：添加条件的 VMBus 依赖关系）。
    如果稍后应卸载 VMBus 模块，则加载 VMBus 模块但未实际初始化该模块会导致失败。模块卸载代码尝试清理从未初始化的内容，从而导致内存错误和错误。通过使 VMBus 模块退出函数对非嵌套根分区执行相同的检查来修复此问题，并且在这种情况下不执行任何操作，就像 hv_acpi_init（） 一样。从长远来看，应重构管理 Hyper-V 提供的 SynIC 的代码，以更好地协调根分区方案和普通 VM 方案的要求，并有望消除 mshv_root 和 VMBus 模块之间的 hv_vmbus_exists（） 依赖关系。在完成此类重构之前，防止当前卸载失败情况是一种权宜之计。（CVE-2026-90097）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ASoC：xilinx：formatter_pcm：修复发生未解决错误时的stream_data泄漏 在 xlnx_formatter_pcm_open（） 中，分配了 stream_data，并提早分配了 adata->play_stream 或 adata->capture_stream。如果后续步骤（如 snd_pcm_hw_constraint_step（） 或 snd_pcm_hw_constraint_integer（））失败，该函数将立即返回错误。当打开失败时，ALSA 不会调用关闭回调，因此stream_data泄露，流指针保持悬摆状态，指向 ALSA 释放的子流。之后的中断随后会在释放的子流上调用 snd_pcm_period_elapsed（）。释放stream_data并清除错误路径上的流指针。（CVE-2026-90214）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2：读取元数据时验证外部 xattr 条目 ocfs2_validate_xattr_block（） 会在 xattr 区块到达更高级别的 xattr 用户之前检查该标头，但不验证非索引区块的xh_count和条目偏移是否适合该区块。索引存储桶同样在 ECC 之后到达 list/get 消费者，而无需进行条目边界检查。对未编制索引的外部 xattr 区块使用平面 xattr 条目验证器，在元数据读取时对已编制索引的存储桶使用存储桶特定验证器。存储桶验证器使条目数组由第一个存储桶块绑定，同时检查其目标存储桶块的名称/值偏移。在 listxattr（） 或 getxattr（） 遍历超出范围的条目数组或名称/值偏移之前，拒绝损坏的外部 xattr 元数据。验证重现了此内核报告：缺陷：KASAN：在 ocfs2_xattr_list_entries+0xd7/0x190 中的释放后使用 在 addr ffff88810a654007 处按任务 ocfs2_xattr_lis/630 读取的大小为 1 调用跟踪：dump_stack_lvl+0x66/0xa0 print_report+0xce/0x630 kasan_report+0xe0/0x110 ocfs2_xattr_list_entries+0xd7/0x190 ocfs2_listxattr+0x3f6/0x610 listxattr+0x90/0xe0 path_listxattrat+0xed/0x220 do_syscall_64+0x115/0x6a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f （CVE-2026-90320）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSv4/flexfiles：修复 NFSv4.0 数据服务器的空取消引用 flexfiles 接受 NFSv4.0 数据服务器，但两个 NFSv4 代码路径假设数据服务器客户端有会话。与 NFSv4.1+ 不同，NFSv4.0 客户端没有会话（clp->cl_session为 NULL;它使用 clp->cl_slot_tbl），因此对 v4.0 flexfiles DS 的 I/O 错误：- 植入 DS 租用时，nfs4_init_ds_session（） 取消引用 clp->cl_session->session_state。它还仅在设置NFS4_SESSION_INITING时才cl_lease_time种子;没有永远不会发生的会话，因此cl_lease_time保持 0 且 nfs4_renew_state（） 忙循环，每 5 秒重新排队一次。只要无会话就种子租用，并在接触会话状态之前返回。- ff_layout_async_handle_error_v4（） 在每个 DS I/O 错误时取消引用 clp->cl_session->fc_slot_table。无会话时回退到 v4.0 传输槽表 （clp->cl_slot_tbl）。（CVE-2026-90149）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dmaengine：dw-edma：序列化通道状态检查 pause（） 和 resume（） 在不保留 vc.lock 的情况下读取和更新通道状态，而中断处理程序更新其下的相同状态。对这些状态检查采用相同的锁定，以便请求、状态和配置保持一致。例如，pause（） 可以在中断处理程序完成最终描述符并将通道移动到EDMA_ST_IDLE之前观察EDMA_ST_BUSY，然后在已经空闲的通道上记录EDMA_REQ_PAUSE。没有进一步的中断将确认该请求，并且由于 issue_pending（） 需要EDMA_REQ_NONE，通道将永久插入：terminate_all（） 会留下过时请求，因此即使重新配置通道也无法恢复它。issue_pending（） 已在 vc.lock 下运行，但它会在获取之前对配置进行测试。将该测试也移动到锁定下，以便将已配置、请求和状态评估为一个通道状态快照。
    (CVE-2026-93040)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cpufreq/amd-pstate：处理动态 EPP 回调中缺少的策略 cpufreq_cpu_get（） 如果没有 cpufreq 策略与请求的 CPU 相关联（例如因为 CPU 离线或策略已拆散），则返回 NULL。amd_pstate_power_supply_notifier（） 和 amd_pstate_profile_set（） 都通过 cpufreq_cpu_get（） 获取策略，然后将该指针传递给 amd_pstate_get_balanced_epp（） 和 amd_pstate_set_epp（），后者会无条件取消引用该策略。争用 CPU 热插拔或驱动程序拆卸可因此导致其中任一动态 EPP 路径上的空指针取消引用。此文件中的第三个 cpufreq_cpu_get（） 调用程序 amd_pstate_verify（） 已处理 NULL 情况。使两个新调用程序符合该模式：从电源通知程序返回 NOTIFY_OK（匹配其他 Nothing to Do 退出）和从 amd_pstate_profile_set（） 返回 -ENODEV（缺少 CPU 策略的常见 cpufreq 错误）。通过代码检查发现;未在硬件上测试。（CVE-2026-92492）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - phonet：pep：不在 getsockopt 中的 optlen 之外写入 pep_getsockopt（） 使用 min_t（） 将报告的长度限制到调用程序的缓冲区，但随后使用 put_user（val， （int __user *） optval） 存储该值，始终写入 sizeof（int） 字节。因此，包含小于 sizeof（int） 的 optlen 的 getsockopt（） 调用会报告钳制长度，但仍会在超出用户缓冲区一到三个字节处写入完整 int。写入由 len 为边界的 copy_to_user（） 的值，因此最多只能复制 optlen 字节，从而匹配返回用户空间的长度。（CVE-2026-90327）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 软件节点：修复索引为 -1 的 software_node_get_reference_args（） 传递给 software_node_get_reference_args（） 的索引的边界检查在传递UINT_MAX时失败，这继而导致属性阵列中的越界访问。修复边界检查，以涵盖UINT_MAX情况。
    (CVE-2026-93046)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mailbox：qcom-cpucp：处理send_data回调中的空数据 mailbox_clear_channel（） 调用包含空数据的 mbox_send_message（），以通知远程端已清除 RX 通道。
    qcom_cpucp_mbox_send_data（） 盲目地取消引用数据指针，导致从PREEMPT_RT下的此路径调用时发生空指针取消引用内核错误。添加明确的 NULL 检查并提早返回，而不写入 TX 寄存器，这是通道清除通知的正确行为。
    (CVE-2026-90192)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/tegra241-cmdqv：在探测设置 vintfs 之前不运行错误 ISR __tegra241_cmdqv_probe（） 在分配 cmdqv->vintfs 数组并设置 cmdqv->num_vintfs 之前请求错误 IRQ。在 kexec 中存在一个锁存错误且保持启用状态的 CMDQV 会在请求 IRQ 时立即触发 IRQ，然后 tegra241_cmdqv_isr（） 遍历未初始化的 cmdqv->vintfs 数组。仅在分配 cmdqv->vintfs 并将其清零之后才请求 IRQ，以便提早触发的锁存中断针对其安全跳过的有效空插槽数组运行 ISR。（CVE-2026-90428）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - remoteproc：qcom_q6v5_adsp：修复设备节点的引用泄漏 调用 of_parse_phandle_with_args（） 时，调用程序负责调用 of_node_put（） 以释放设备节点的引用。在 adsp_map_carveout 中，它不会释放引用。（CVE-2026-93126）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ptp：netc：修复 PEROUT 中的周期截断和潜在的除零 net_timer_enable_perout（） 中的max_period界计算公式为：max_period = （u64）NETC_TMR_DEFAULT_FIPER + integral_period;
    当integral_period > 0 时超过 U32_MAX（例如，默认 333333333 Hz 时钟的 0x100000002）。若period_ns通过了此检查但超过U32_MAX则会在存储至 u32 struct netc_pp：:p eriod 字段时静默截断。截断的零值可以达到 netc_timer_set_perout_alarm（），其中本地 u32 周期变量也将为 0，从而导致每当采用 stime < min_time 分支时在 roundup_u64（delta， period） 中除以零（开始时间为 {0， 0} 时总是发生这种情况）。此外，netc_timer_enable_periodic_pulse（） 和 netc_timer_enable_fiper（） 都计算：fiper = pp->period - integral_period;零 pp->period 导致无符号回绕至 0xFFFFFFFD，从而错误地对 FIPER 硬件寄存器编程。通过将max_period封装在 NETC_TMR_DEFAULT_FIPER （0xFFFFFFFF） 来修复所有三个问题。这可确保通过范围检查的任何period_ns都适合 u32 而不进行截断，因此存储的值始终有效且非零。可接受的范围减少了 integral_period ns（通常只有几纳秒），这在实践中可以忽略不计。（CVE-2026-90100）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：推迟发布已授予的锁定以防止 UAF/双重释放争用 在 smb2_lock（） 中，中间批次授予的锁定会在 vfs_lock_file（） 成功之后立即发布到连接范围 （conn->lock_list） 和文件范围 （fp->lock_list） 列表，同时仍会在堆栈本地rollback_list上保持跟踪。如果同一 SMB2_LOCK 请求数组中的后续元素验证或执行失败，线程将跳转到 out： 并走rollback_list以撤消以前授予的锁定。但是，由于已授予的锁定发布到 conn->lock_list，同一连接上的并发 UNLOCK 请求可在回滚循环执行之前找到锁定对象并将其 kfree（）。授予线程随后走rollback_list时，它会取消引用并释放已经释放的 ksmbd_lock 结构，从而导致释放后使用和双重释放（在 ksmbd_lock 和结构file_lock上）。通过延迟发布已授予锁定到 conn->lock_list 和 fp->lock_list 来修复此问题，直到处理锁定元素的完整数组且没有错误之后。在整个批次成功之前，期中批次授予将仅在请求本地rollback_list上进行跟踪，从而消除争用窗口。（CVE-2026-90162）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：iwlwifi：修复 iwl_fwrt_dump_error_logs 中的计数器类型 循环计数器“count”声明为 u8，而num_pc为 u32。如果固件公告超过 255 个 PC 条目，计数器回绕回零，并且循环永不终止，从而可能造成无限循环或读取超出分配的 pc_data 数组。将声明更改为 u32 以匹配num_pc。（CVE-2026-93065）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ntfs：在保留更新序列号之前验证usa_ofs ntfs_mft_record_alloc（） 重新使用空闲 MFT 记录时，它会直接从磁盘上的记录读取旧的更新序列号：usn = *（__le16
    *）（（u8 *）m + le16_to_cpu（m->usa_ofs））;此处 m 指向原始 $MFT 页面缓存作品集，该作品集仍保留未经验证的、受 MST 保护的字节：该作品集由普通 iomap_read_folio（） 读取，post_read_mst_fixup（） 和 ntfs_mft_record_check（） 均未对其运行（两者均适用于私有副本）。 因此，m->usa_ofs 是不受信任的 u16，损坏的记录可使其超出记录末尾，因此双字节读取位于作品集之外。在创建文件时读取此类记录会在 KASAN： 缺陷下得到：
    KASAN：ntfs_mft_record_alloc+ 中的释放后使用... 地址处的读取大小为 2 ...ntfs_mft_record_alloc ->
    __ntfs_create -> ntfs_create -> path_openat 仅当usa_ofs为偶数且在范围内时才保留旧的更新序列号，以反映已应用的检查 ntfs_mft_record_check（）;否则将 USN 设置为零，下面的现有还原会跳过该值。（CVE-2026-90117）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/vt-d：拆卸探测故障时的可扩展模式上下文 intel_pasid_setup_sm_context（） 通过 pci_for_each_dma_alias（） 遍历 PCI 设备的 DMA 别名，并为每个 RID 编程可扩展模式上下文条目。
    对于具有dma_alias_mask的设备，将对设备自己的 RID 调用一次回调，为每个别名位调用一次，所有这些都具有相同的pci_dev，因此 device_pasid_table_setup（） 对多个 RID 运行。
    pci_for_each_dma_alias（） 在第一个回调错误时停止。因此，在 walk 中途失败可使已处理的 RID 的上下文条目存在，并且仍然指向设备的 PASID 表。在此错误路径上，intel_iommu_probe_device（） 当前直接跳转到 intel_pasid_free_table（），这样释放 PASID 表而无需首先去除这些上下文条目。
    然后 IOMMU 可遍历其 PASID 表指针引用已释放内存的当前上下文条目。
    intel_iommu_release_device（） 已在释放表前执行拆卸。在探测失败路径上应用相同的顺序。device_pasid_table_teardown（） 安全地处理从未编程过的 RID：
    iommu_context_addr（） 在未分配任何上下文表时返回 NULL，清除已经不存在的条目的 Present 位是非操作。因此，展开对于失败的别名和尚未访问的任何别名都是安全的。（CVE-2026-90241）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - i3c：master：修复设备注册期间的递归锁定 i3c_master_register_new_i3c_devs（） 在按住 i3c_bus_normaluse_lock（） 的同时注册新发现的设备，即 down_read（）。device_register（） 可以立即探测设备，探测回调通常会调用再次采用 i3c_bus_normaluse_lock（） 的 I3C 帮助程序，从而导致递归获取相同的 rwsem。rwsem 不支持递归读取锁定，可在写入器等待时死锁。请参阅 Documentation/locking/lockdep-design.rst 的递归读取锁定部分。例如，对于 Intel LPSS I3C，LOCKDEP 会生成如下的警告：# echo intel-lpss-i3c.0 > /sys/bus/platform/drivers/mipi-i3c-hci/unbind # echo intel-lpss-i3c.0 > /sys/bus/platform/drivers/mipi-i3c-hci/bind 警告：检测到可能的递归锁定 kworker/5:1/94 is trying to acquire lock： ffff88811c810d78 （&i3cbus->lock）{++++}-{4:4}， at：
    i3c_device_match_id+0x45/0x370但任务已保持锁定： ffff88811c810d78 （&i3cbus->lock）{++++}-{4:4}， at： i3c_master_reg_work_fn+0x21/0x5f0 通过将设备创建与设备注册分开来修复此问题。在维护锁定下填充 desc->dev，将仍需要注册的设备收集到本地列表中，然后在调用 device_register（） 之前释放锁定。最后，重新锁定并清除所有注册失败的设备。添加设备对象时，使用维护锁定而非正常使用锁定。写入端维护锁定阻止阅读器在初始设备填充期间观察到部分初始化的 desc->dev，或者在注册失败时阻止 desc->dev 消失。本地列表需要一个列表节点，因此请添加一个列表节点成员来构造i3c_device。
    (CVE-2026-93202)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：seq：不泄漏 bounce 负载中的扩展单元格指针 bounce_error_event（） 通过指向 data.ext.ptr 将失败事件嵌入到 bounce 负载中。当该事件是排队的变量长度事件时，它自己的 data.ext.ptr 将保留其第一个扩展单元格的地址，由 snd_seq_event_dup（） 放置在那里。负载通过 snd_seq_expand_var_event（） 逐字传出，因此地址可以到达用户空间。这是从事件标头删除的相同地址 commit 705dd6dcbc0e（ALSA：seq：读取时清除变量事件指针）。读取路径仍然会清除它，就在扩展负载的调用上方。请改为嵌入经过审查的副本，其处理方式与 snd_seq_read（） 处理标头的方式完全相同。
    堆栈复制就足够了，因为交付是同步的，并且在返回之前snd_seq_event_dup（）复制。非特权客户端可通过设置SNDRV_SEQ_FILTER_BOUNCE、将长度变量事件排队到不存在的端口，然后读取退回来达到这个目的。8 位，来自其自有池的 64 位。
    (CVE-2026-90220)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cxl/features：序列化多部分 Get/Set 功能传输 大于邮箱负载大小的 Get 或 Set 功能负载被拆分为多个邮箱命令。mbox_mutex 仅序列化各个邮箱命令，并在这些循环迭代之间被丢弃。没有任何内容将多部分传输作为一个整体进行序列化。cxl_get_feature（） 和 cxl_set_feature（） 可从 fwctl（在读取保留的注册锁定下运行的每个 fd RPC）和 EDAC scrub/ECS/repair 路径并发访问，因此到同一邮箱的两个传输可交错其部分并损坏设备的传输上下文。添加每个邮箱feat_mutex，并在两个函数的整个传输过程中保留它。它在 mbox_mutex 之外嵌套（在 cxl_internal_send_cmd（） 内部取得），并且不会在其他任何地方取得，因此不会引入锁定顺序反转。（CVE-2026-93096）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：ufs：debugfs：为字符串终止符预留空间 ufs_saved_err_write（） 将用户输入复制到零初始化的堆栈缓冲区并将其传递到 kstrtoint（）。填满整个缓冲区的写入会覆盖其唯一的终止符。拒绝其长度不会给末尾 NUL 留下任何空间的输入。
    (CVE-2026-92477)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ext4：访问 dirent 之前验证 readdir 偏移 当 ext4_readdir（） 从无效位置恢复时，损坏的目录可触发以下 KASAN 报告： 缺陷：KASAN：中的释放后使用
    __ext4_check_dir_entry+0x5ef/0x820 在 addr ffff88810a646000 处按任务 repro_linear/509 读取的大小为 2 调用跟踪： <TASK> dump_stack_lvl+0x53/0x70 print_report+0xd0/0x630 kasan_report+0xce/0x100
    __ext4_check_dir_entry+0x5ef/0x820 ext4_readdir+0xcde/0x2b70 iterate_dir+0x1a1/0x520
    __x64_sys_getdents64+0x12b/0x220 do_syscall_64+0xf9/0x540 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> 由于越界访问进入相邻的已释放页面，KASAN 报告释放后使用。仍会引用目录缓冲区本身。ext4_dir_llseek（） 会使目录 cookie 无效，因此 ext4_readdir（） 会从区块开头重新扫描目录条目。重新扫描仅检查rec_len下界，然后再继续。因此，损坏的rec_len可将偏移置于块空间不足以容纳完整目录条目的地方。重新扫描本身可能会取消引用该截断条目，或者主循环可能会将其传递到 __ext4_check_dir_entry（）。后者在验证范围之前读取 de->rec_len。例如：区块偏移量 0 4092 4096 |---- de1.rec_len = 4092 -----|----|de2.inode |de2.rec_len ^ OOB，报告为 UAF de2 在此 4 KiB 区块中的偏移 4092 处开始。它的四字节 inode 适合区块，但其rec_len从偏移量 4096 开始并越过边界。最小安全长度取决于 inode。加密和大小写折叠的目录条目需要 8 个额外的哈希字节，而有效的元数据校验和末尾只有 12 个字节。缓存元数据校验和功能状态，并从磁盘上的格式派生最小目录条目长度。使用它来绑定重新扫描和传递到主循环的偏移。报告截断的块尾部的偏移并跳过块的其余部分，同时继续接受正好在块边界处的偏移。（CVE-2026-92499）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - rtc：pcf8563：修复 unbind 上的时钟提供程序泄漏 pcf8563_clkout_register_clk（） 通过 of_clk_add_provider（） 注册 CLKOUT 时钟提供程序，但无法展开任何操作：没有 of_clk_del_provider（） 调用，驱动程序也没有 remove 回调。每个 of_clk_add_provider（） 分配一个结构of_clk_provider，在 OF 节点上进行引用，并将一个条目添加到全局of_clk_providers列表，当设备未绑定时，不会释放任何一个条目。因此，每次绑定/取消绑定（或模块重新加载）都会泄露提供程序结构和of_node引用。时钟本身已经由设备管理 （devm_clk_register（））;只有提供者注册没有。使用 devm_of_clk_add_hw_provider（） 以便在取消绑定时自动删除提供程序。将其绑定到父 i2c 设备，其 OF 节点携带 #clock-cells 和 clock-output-names 属性（RTC 类设备没有自己的 OF 节点）。（CVE-2026-90126）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/ipoib：模块拆卸期间的耗尽 RCU 回调 IPoIB 回收完成可从 RCU 回调内部发出信号。拆卸可在回调返回之前唤醒，并在其代码仍在执行时卸载ib_ipoib。客户端注册失败还可删除已添加的设备并排队回调。
    在客户端和工作队列拆卸后等待。（CVE-2026-93108）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：arm_scmi：在拆卸之前静默通知 scmi_notification_exit（） 清除并释放通知实例，但在释放 TX/RX 通道之前，传输回调仍然可以传递传入通知。删除期间，通知状态被拆散时，该窗口中的 RX 中断可进入 scmi_notify（），然后取消引用释放的内存。通知初始化之后，探测错误路径中存在相同的顺序。通知 late-init 工作线程还有一个单独的生命周期问题：协议事件注册会在系统工作队列上排入 ni->init_work，因此破坏 ni->notify_wq 不会耗尽该工作。如果在 devres 群组仍处于待定或运行init_work时释放，则 late-init 工作线程可取消引用释放的通知实例。在 TX/RX 通道停止之前将通知核心静默，然后在释放通知核心资源之前清理通道。使用 disable_work_sync（） 以便在通道拆卸开始之前，拒绝未来的 late-init 排队，并且完成任何已排队或正在运行的 late-init 工作。（CVE-2026-93091）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：拒绝 arena 基底以下的 arena 释放 bpf_arena_free_pages（） 接受标量 arena 地址。运行时将地址掩盖为低 32 位，并从 arena 基重新构造完整的用户地址，然后再将范围返回至 arena 空闲树状结构。当标量值低于 arena 基数的低 32 位时，full_uaddr会低于 user_vm_start。然后，现有的上端裁剪将此转换为超出范围的自由树偏移。以后的分配可以重用该偏移量并返回 arena 映射下方的地址。在计算裁剪范围之前拒绝此类释放。（CVE-2026-93045）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：hp-bioscfg：修复密码编码边界检查 从 ACPI 程序包复制受支持的密码编码时，密码 PSWD_ENCODINGS 解析器读取 password_obj[elem + pos_values]。外部循环仅保证 elem 在 password_obj_count 以内。编码计数以MAX_ENCODINGS_SIZE为界，但这并不能保证 ACPI 程序包包含所有 elem + pos_values 访问的足够条目。因此，畸形程序包可在未提供足够字符串对象的情况下声明非零编码计数，从而导致解析器读取 ACPI 程序包数组，并将越界字符串指针和长度传递到 hp_convert_hexstr_to_str（）。添加在读取 password_obj[elem + pos_values] 之前由其他基于偏移的程序包解析循环使用的相同 computed-index 边界检查。
    (CVE-2026-90137)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2/cluster：保持心跳信息本地节点稳定 o2nm_node_local_store（） 通过停止 o2net 并将 cl_local_node 设置为 O2NM_INVALID_NODE_NUM 来处理 local=0，但它保留cl_has_local设置。该过时状态会使 o2nm_this_node（） 返回 255，通过 -EBUSY 阻止后续的 local=1 尝试，并且可以将 255 馈送到动态调用 o2nm_this_node（） 的心跳信息用户。重置本地节点时需要清除cl_has_local。但心跳信息线程此时仍可运行。它们在启动时固定本地节点配置项目，但对于本地插槽和 o2nm_undepend_this_node（） o2hb_do_disk_heartbeat（） 和线程拆卸会重新读取 o2nm_this_node（）。一旦 local=0 清除实时本地节点状态，这些动态读取将返回 O2NM_MAX_NODES，这也是无效节点编号 255。当区域启动时，将本地节点编号存储在心跳信息区域中。将该稳定节点用于心跳信息插槽写入/检查、协商消息和最终的 configfs undepend。当当前本地节点不再匹配存储的节点时停止检测信号循环，并清除 local=0 路径中的cl_local_node cl_has_local，使 nodemanager 状态与节点删除匹配。验证重现了此内核报告：KASAN o2hb_do_disk_heartbeat+0x372/0xb30 中的 SLAB 越界 RIP： 0010：memset+0xf/0x20 读取大小为 8 调用跟踪：
    dump_stack_lvl+0x66/0xa0 print_report+0xd0/0x630 o2hb_do_disk_heartbeat+0x372/0xb30 （fs/ocfs2/cluster/heartbeat.c：1079） srso_alias_return_thunk+0x5/0xfbef5 __virt_addr_valid+0x188/0x2f0 kasan_report+0xe4/0x120 o2hb_do_disk_heartbeat+0x5/0xb30 （fs/ocfs2/cluster/heartbeat.c：1079） o2hb_thread+0x14e/0x770 kthread_affine_node+0x139/0x180 lockdep_hardirqs_on_prepare+0xda/0x190 trace_hardirqs_on+0x18/0x130 kthread+0x19d/0x1e0 ret_from_fork+0x37a/0x4d0 __switch_to+0x2d5/0x6f0 ret_from_fork_asm+0x1a/0x30 （CVE-2026-90322）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
347398	Linux Distros 未修补的漏洞：CVE-2026-90302	high
347397	Linux Distros 未修补的漏洞：CVE-2026-93177	high
347396	Linux Distros 未修补的漏洞：CVE-2026-93042	high
347395	Linux Distros 未修补的漏洞：CVE-2026-90195	medium
347394	Linux Distros 未修补的漏洞：CVE-2026-93127	high
347393	Linux Distros 未修补的漏洞：CVE-2026-90268	high
347392	Linux Distros 未修补的漏洞：CVE-2026-93165	high
347391	Linux Distros 未修补的漏洞：CVE-2026-93163	medium
347390	Linux Distros 未修补的漏洞：CVE-2026-90279	medium
347389	Linux Distros 未修补的漏洞：CVE-2026-90394	medium
347388	Linux Distros 未修补的漏洞：CVE-2026-93118	medium
347387	Linux Distros 未修补的漏洞：CVE-2026-90092	high
347386	Linux Distros 未修补的漏洞：CVE-2026-93084	medium
347385	Linux Distros 未修补的漏洞：CVE-2026-93115	medium
347384	Linux Distros 未修补的漏洞：CVE-2026-90350	medium
347383	Linux Distros 未修补的漏洞：CVE-2026-90358	high
347382	Linux Distros 未修补的漏洞：CVE-2026-90421	medium
347381	Linux Distros 未修补的漏洞：CVE-2026-90296	medium
347380	Linux Distros 未修补的漏洞：CVE-2026-93095	high
347379	Linux Distros 未修补的漏洞：CVE-2026-90245	medium
347378	Linux Distros 未修补的漏洞：CVE-2026-90165	medium
347377	Linux Distros 未修补的漏洞：CVE-2026-90351	medium
347376	Linux Distros 未修补的漏洞：CVE-2026-90342	medium
347375	Linux Distros 未修补的漏洞：CVE-2026-90097	high
347374	Linux Distros 未修补的漏洞：CVE-2026-90214	medium
347373	Linux Distros 未修补的漏洞：CVE-2026-90320	high
347372	Linux Distros 未修补的漏洞：CVE-2026-90149	high
347371	Linux Distros 未修补的漏洞：CVE-2026-93040	medium
347370	Linux Distros 未修补的漏洞：CVE-2026-92492	medium
347369	Linux Distros 未修补的漏洞：CVE-2026-90327	high
347368	Linux Distros 未修补的漏洞：CVE-2026-93046	high
347367	Linux Distros 未修补的漏洞：CVE-2026-90192	medium
347366	Linux Distros 未修补的漏洞：CVE-2026-90428	medium
347365	Linux Distros 未修补的漏洞：CVE-2026-93126	medium
347364	Linux Distros 未修补的漏洞：CVE-2026-90100	medium
347363	Linux Distros 未修补的漏洞：CVE-2026-90162	high
347362	Linux Distros 未修补的漏洞：CVE-2026-93065	medium
347361	Linux Distros 未修补的漏洞：CVE-2026-90117	high
347360	Linux Distros 未修补的漏洞：CVE-2026-90241	high
347359	Linux Distros 未修补的漏洞：CVE-2026-93202	medium
347358	Linux Distros 未修补的漏洞：CVE-2026-90220	medium
347357	Linux Distros 未修补的漏洞：CVE-2026-93096	high
347356	Linux Distros 未修补的漏洞：CVE-2026-92477	high
347355	Linux Distros 未修补的漏洞：CVE-2026-92499	medium
347354	Linux Distros 未修补的漏洞：CVE-2026-90126	high
347353	Linux Distros 未修补的漏洞：CVE-2026-93108	high
347352	Linux Distros 未修补的漏洞：CVE-2026-93091	medium
347351	Linux Distros 未修补的漏洞：CVE-2026-93045	high
347350	Linux Distros 未修补的漏洞：CVE-2026-90137	high
347349	Linux Distros 未修补的漏洞：CVE-2026-90322	medium

检测

Nessus 的 Misc. 系列

high

high

high

medium

high

high

high

medium

medium

medium

medium

high

medium

medium

medium

high

medium

medium

high

medium

medium

medium

medium

high

medium

high

high

medium

medium

high

high

medium

medium

medium

medium

high

medium

high

high

medium

medium

high

high

medium

high

high

medium

high

high

medium