Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PCI：修复探测与 dyn ID 删除并发运行时的 UAF 仅当保留了 dynids.lock 时才保证动态 ID 有效，因为 remove_id_store（） 可以释放该节点。因此，在 pci_match_device（） 中进行复制。
    另外，明确 id 参数仅在探测期间有效。（CVE-2026-90421）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cpufreq：imx6q：修复使用 devm_kcalloc（cpu_dev， ...） 分配的驱动程序重新绑定imx6_soc_volt之间的 devres 累积，其中 cpu_dev 是来自 get_cpu_device（0） 的 CPU 设备。该设备永远不会解除绑定，因此从不释放其 devres 列表，imx6q_cpufreq_remove（） 也不会释放数组。
    因此，每个探测都会添加一个在系统生命周期内保留的分配。而是针对平台设备进行分配。当驱动程序未绑定时，将释放其 devres，这正是数组想要的生命周期：imx6q_set_target（） 读取它，并且在 cpufreq_unregister_driver（） 之后可能没有任何内容达到该范围。这会使数组在取消绑定时实际消失，因此也清除 remove 和 failed-probe 路径中的文件范围指针，而不是让它指向内存 devres 即将释放。通过重新绑定 qemu 的 mcimx6ul-evk 上的驱动程序进行测试。（CVE-2026-90296）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hfsplus：当对未链接的 HFS+ 硬链接备份 inode 的最后一个开放引用关闭时，在删除密钥重建之前验证线程记录 hfsplus_delete_cat（） 通过 str == NULL 调用。在这种情况下，该函数通过 CNID 查找目录线程，并从 thread.nodeName 重新生成目录键。该重建路径直接从目录 B 树将 thread.nodeName.length 读入 fd.search_key，然后将长度 * 2 字节复制到 fd.search_key->cat.name.unicode 中。它不会首先检查找到的记录是否为线程记录或其大小是否匹配线程名称。因此，损坏的图像可提供超大的线程名称长度并使 hfs_bnode_read（） 写入超过目录搜索密钥分配。通过 hfsplus_brec_read_cat （） 读取 CNID 记录，将读取的记录绑定为 sizeof（hfsplus_cat_entry） 并验证线程记录的大小是否与 nodeName.length 完全匹配。
    这些检查共同确保接受的线程名称适合HFSPLUS_MAX_STRLEN。从经过验证的线程名称构建 delete 密钥之前拒绝非线程记录。在 hfsplus_find_cat（） 与 hfsplus_delete_cat（） 之间共享 thread-record-type 辅助函数。（CVE-2026-93095）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fbdev：kyro：验证叠加视口坐标 叠加视口端点坐标是使用 32 位无符号算术从视口原点和尺寸计算得出的。大的输入值可能会导致这些计算在将结果坐标传递到 SetOverlayViewPort（） 之前进行回绕。
    SetOverlayViewPort（） 将视口坐标打包到 16 位寄存器字段中。X 坐标在写入之前还额外调整了 +2 和 +1。在调用 SetOverlayViewPort（） 之前，验证 32 位环绕的坐标计算，并确保调整后的坐标适合其 16 位寄存器字段。由 Linux Verification Center (linuxtesting.org) 和 SVACE 发现。(CVE-2026-90245)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smb/server：修复 ksmbd_stop_durable_scavenger（） 中的无效指针取消引用 请参阅以程：
    ksmbd_launch_ksmbd_durable_scavenger durable_scavenger_running = true server_conf.dh_task = kthread_run（） // 失败，dh_task是 ERR_PTR（） server_ctrl_handle_reset ksmbd_stop_durable_scavenger kthread_stop（server_conf.dh_task） // 无效指针 （CVE-2026-90165）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7996：主 WED 连接失败时不附加 hif2 WED 如果主要 PCIe 功能的 WED 连接失败，则辅助功能的探测路径仍wed_hif2附加，使设备处于不一致的半 WED 配置中，随后会崩溃。hif2 调用还重新启用了失败的主连接刚刚关闭的 hwrro_mode。主 WED 设备处于非活动状态时跳过 hif2 WED 设置。（CVE-2026-90351）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：修复 arena 锁定失败时的 mmap_lock 死锁 由 Sashiko AI 审查报告。arena_vm_fault（） 在无法采用 arena->spinlock 时返回VM_FAULT_RETRY，但它从未采用过mmap_lock。错误路径假设已丢弃的VM_FAULT_RETRY处理程序mmap_lock并在重试时重新采用，因此mmap_lock会被占用两次并可能死锁： do_user_addr_fault（） { fault = handle_mm_fault（...）; // 调用 arena_vm_fault（） if （fault &; VM_FAULT_RETRY） goto retry; // 重新锁定 mmap_lock mmap_read_unlock（mm）; }返回 VM_FAULT_SIGBUS，原因有二：1. 我们可以保留VM_FAULT_RETRY，但随后我们必须像 __folio_lock_or_retry（） 那样，首先放弃错误锁定并自行限制重试。2. 失败的 raw_res_spin_lock_irqsave（） 已意味着检测到可能的死锁，因此重试只会再次命中相同的锁定。所以回到这里VM_FAULT_RETRY有点矫枉过正。（CVE-2026-90342）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Drivers：hv：vmbus：跳过非嵌套根分区的 VMBus 模块清理 VMBus 模块初始化函数 hv_acpi_init（） 在根分区中运行且根未嵌套在另一个 VM 中时，目前不执行任何操作。但初始化函数报告成功，因此确实加载了 VMBus 模块。实际上不需要 VMBus 功能，但必须加载 VMBus 模块以便 hv_vmbus_exists（） 能够正确应答。此外，需要 VMBus 模块的mshv_root依赖关系，如 840b740a35bf 的提交消息中所述（mshv：添加条件的 VMBus 依赖关系）。
    如果稍后应卸载 VMBus 模块，则加载 VMBus 模块但未实际初始化该模块会导致失败。模块卸载代码尝试清理从未初始化的内容，从而导致内存错误和错误。通过使 VMBus 模块退出函数对非嵌套根分区执行相同的检查来修复此问题，并且在这种情况下不执行任何操作，就像 hv_acpi_init（） 一样。从长远来看，应重构管理 Hyper-V 提供的 SynIC 的代码，以更好地协调根分区方案和普通 VM 方案的要求，并有望消除 mshv_root 和 VMBus 模块之间的 hv_vmbus_exists（） 依赖关系。在完成此类重构之前，防止当前卸载失败情况是一种权宜之计。（CVE-2026-90097）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ASoC：xilinx：formatter_pcm：修复发生未解决错误时的stream_data泄漏 在 xlnx_formatter_pcm_open（） 中，分配了 stream_data，并提早分配了 adata->play_stream 或 adata->capture_stream。如果后续步骤（如 snd_pcm_hw_constraint_step（） 或 snd_pcm_hw_constraint_integer（））失败，该函数将立即返回错误。当打开失败时，ALSA 不会调用关闭回调，因此stream_data泄露，流指针保持悬摆状态，指向 ALSA 释放的子流。之后的中断随后会在释放的子流上调用 snd_pcm_period_elapsed（）。释放stream_data并清除错误路径上的流指针。（CVE-2026-90214）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2：读取元数据时验证外部 xattr 条目 ocfs2_validate_xattr_block（） 会在 xattr 区块到达更高级别的 xattr 用户之前检查该标头，但不验证非索引区块的xh_count和条目偏移是否适合该区块。索引存储桶同样在 ECC 之后到达 list/get 消费者，而无需进行条目边界检查。对未编制索引的外部 xattr 区块使用平面 xattr 条目验证器，在元数据读取时对已编制索引的存储桶使用存储桶特定验证器。存储桶验证器使条目数组由第一个存储桶块绑定，同时检查其目标存储桶块的名称/值偏移。在 listxattr（） 或 getxattr（） 遍历超出范围的条目数组或名称/值偏移之前，拒绝损坏的外部 xattr 元数据。验证重现了此内核报告：缺陷：KASAN：在 ocfs2_xattr_list_entries+0xd7/0x190 中的释放后使用 在 addr ffff88810a654007 处按任务 ocfs2_xattr_lis/630 读取的大小为 1 调用跟踪：dump_stack_lvl+0x66/0xa0 print_report+0xce/0x630 kasan_report+0xe0/0x110 ocfs2_xattr_list_entries+0xd7/0x190 ocfs2_listxattr+0x3f6/0x610 listxattr+0x90/0xe0 path_listxattrat+0xed/0x220 do_syscall_64+0x115/0x6a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f （CVE-2026-90320）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSv4/flexfiles：修复 NFSv4.0 数据服务器的空取消引用 flexfiles 接受 NFSv4.0 数据服务器，但两个 NFSv4 代码路径假设数据服务器客户端有会话。与 NFSv4.1+ 不同，NFSv4.0 客户端没有会话（clp->cl_session为 NULL;它使用 clp->cl_slot_tbl），因此对 v4.0 flexfiles DS 的 I/O 错误：- 植入 DS 租用时，nfs4_init_ds_session（） 取消引用 clp->cl_session->session_state。它还仅在设置NFS4_SESSION_INITING时才cl_lease_time种子;没有永远不会发生的会话，因此cl_lease_time保持 0 且 nfs4_renew_state（） 忙循环，每 5 秒重新排队一次。只要无会话就种子租用，并在接触会话状态之前返回。- ff_layout_async_handle_error_v4（） 在每个 DS I/O 错误时取消引用 clp->cl_session->fc_slot_table。无会话时回退到 v4.0 传输槽表 （clp->cl_slot_tbl）。（CVE-2026-90149）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dmaengine：dw-edma：序列化通道状态检查 pause（） 和 resume（） 在不保留 vc.lock 的情况下读取和更新通道状态，而中断处理程序更新其下的相同状态。对这些状态检查采用相同的锁定，以便请求、状态和配置保持一致。例如，pause（） 可以在中断处理程序完成最终描述符并将通道移动到EDMA_ST_IDLE之前观察EDMA_ST_BUSY，然后在已经空闲的通道上记录EDMA_REQ_PAUSE。没有进一步的中断将确认该请求，并且由于 issue_pending（） 需要EDMA_REQ_NONE，通道将永久插入：terminate_all（） 会留下过时请求，因此即使重新配置通道也无法恢复它。issue_pending（） 已在 vc.lock 下运行，但它会在获取之前对配置进行测试。将该测试也移动到锁定下，以便将已配置、请求和状态评估为一个通道状态快照。
    (CVE-2026-93040)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cpufreq/amd-pstate：处理动态 EPP 回调中缺少的策略 cpufreq_cpu_get（） 如果没有 cpufreq 策略与请求的 CPU 相关联（例如因为 CPU 离线或策略已拆散），则返回 NULL。amd_pstate_power_supply_notifier（） 和 amd_pstate_profile_set（） 都通过 cpufreq_cpu_get（） 获取策略，然后将该指针传递给 amd_pstate_get_balanced_epp（） 和 amd_pstate_set_epp（），后者会无条件取消引用该策略。争用 CPU 热插拔或驱动程序拆卸可因此导致其中任一动态 EPP 路径上的空指针取消引用。此文件中的第三个 cpufreq_cpu_get（） 调用程序 amd_pstate_verify（） 已处理 NULL 情况。使两个新调用程序符合该模式：从电源通知程序返回 NOTIFY_OK（匹配其他 Nothing to Do 退出）和从 amd_pstate_profile_set（） 返回 -ENODEV（缺少 CPU 策略的常见 cpufreq 错误）。通过代码检查发现;未在硬件上测试。（CVE-2026-92492）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - phonet：pep：不在 getsockopt 中的 optlen 之外写入 pep_getsockopt（） 使用 min_t（） 将报告的长度限制到调用程序的缓冲区，但随后使用 put_user（val， （int __user *） optval） 存储该值，始终写入 sizeof（int） 字节。因此，包含小于 sizeof（int） 的 optlen 的 getsockopt（） 调用会报告钳制长度，但仍会在超出用户缓冲区一到三个字节处写入完整 int。写入由 len 为边界的 copy_to_user（） 的值，因此最多只能复制 optlen 字节，从而匹配返回用户空间的长度。（CVE-2026-90327）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 软件节点：修复索引为 -1 的 software_node_get_reference_args（） 传递给 software_node_get_reference_args（） 的索引的边界检查在传递UINT_MAX时失败，这继而导致属性阵列中的越界访问。修复边界检查，以涵盖UINT_MAX情况。
    (CVE-2026-93046)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mailbox：qcom-cpucp：处理send_data回调中的空数据 mailbox_clear_channel（） 调用包含空数据的 mbox_send_message（），以通知远程端已清除 RX 通道。
    qcom_cpucp_mbox_send_data（） 盲目地取消引用数据指针，导致从PREEMPT_RT下的此路径调用时发生空指针取消引用内核错误。添加明确的 NULL 检查并提早返回，而不写入 TX 寄存器，这是通道清除通知的正确行为。
    (CVE-2026-90192)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/tegra241-cmdqv：在探测设置 vintfs 之前不运行错误 ISR __tegra241_cmdqv_probe（） 在分配 cmdqv->vintfs 数组并设置 cmdqv->num_vintfs 之前请求错误 IRQ。在 kexec 中存在一个锁存错误且保持启用状态的 CMDQV 会在请求 IRQ 时立即触发 IRQ，然后 tegra241_cmdqv_isr（） 遍历未初始化的 cmdqv->vintfs 数组。仅在分配 cmdqv->vintfs 并将其清零之后才请求 IRQ，以便提早触发的锁存中断针对其安全跳过的有效空插槽数组运行 ISR。（CVE-2026-90428）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - remoteproc：qcom_q6v5_adsp：修复设备节点的引用泄漏 调用 of_parse_phandle_with_args（） 时，调用程序负责调用 of_node_put（） 以释放设备节点的引用。在 adsp_map_carveout 中，它不会释放引用。（CVE-2026-93126）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ptp：netc：修复 PEROUT 中的周期截断和潜在的除零 net_timer_enable_perout（） 中的max_period界计算公式为：max_period = （u64）NETC_TMR_DEFAULT_FIPER + integral_period;
    当integral_period > 0 时超过 U32_MAX（例如，默认 333333333 Hz 时钟的 0x100000002）。若period_ns通过了此检查但超过U32_MAX则会在存储至 u32 struct netc_pp：:p eriod 字段时静默截断。截断的零值可以达到 netc_timer_set_perout_alarm（），其中本地 u32 周期变量也将为 0，从而导致每当采用 stime < min_time 分支时在 roundup_u64（delta， period） 中除以零（开始时间为 {0， 0} 时总是发生这种情况）。此外，netc_timer_enable_periodic_pulse（） 和 netc_timer_enable_fiper（） 都计算：fiper = pp->period - integral_period;零 pp->period 导致无符号回绕至 0xFFFFFFFD，从而错误地对 FIPER 硬件寄存器编程。通过将max_period封装在 NETC_TMR_DEFAULT_FIPER （0xFFFFFFFF） 来修复所有三个问题。这可确保通过范围检查的任何period_ns都适合 u32 而不进行截断，因此存储的值始终有效且非零。可接受的范围减少了 integral_period ns（通常只有几纳秒），这在实践中可以忽略不计。（CVE-2026-90100）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：推迟发布已授予的锁定以防止 UAF/双重释放争用 在 smb2_lock（） 中，中间批次授予的锁定会在 vfs_lock_file（） 成功之后立即发布到连接范围 （conn->lock_list） 和文件范围 （fp->lock_list） 列表，同时仍会在堆栈本地rollback_list上保持跟踪。如果同一 SMB2_LOCK 请求数组中的后续元素验证或执行失败，线程将跳转到 out： 并走rollback_list以撤消以前授予的锁定。但是，由于已授予的锁定发布到 conn->lock_list，同一连接上的并发 UNLOCK 请求可在回滚循环执行之前找到锁定对象并将其 kfree（）。授予线程随后走rollback_list时，它会取消引用并释放已经释放的 ksmbd_lock 结构，从而导致释放后使用和双重释放（在 ksmbd_lock 和结构file_lock上）。通过延迟发布已授予锁定到 conn->lock_list 和 fp->lock_list 来修复此问题，直到处理锁定元素的完整数组且没有错误之后。在整个批次成功之前，期中批次授予将仅在请求本地rollback_list上进行跟踪，从而消除争用窗口。（CVE-2026-90162）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：iwlwifi：修复 iwl_fwrt_dump_error_logs 中的计数器类型 循环计数器“count”声明为 u8，而num_pc为 u32。如果固件公告超过 255 个 PC 条目，计数器回绕回零，并且循环永不终止，从而可能造成无限循环或读取超出分配的 pc_data 数组。将声明更改为 u32 以匹配num_pc。（CVE-2026-93065）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ntfs：在保留更新序列号之前验证usa_ofs ntfs_mft_record_alloc（） 重新使用空闲 MFT 记录时，它会直接从磁盘上的记录读取旧的更新序列号：usn = *（__le16
    *）（（u8 *）m + le16_to_cpu（m->usa_ofs））;此处 m 指向原始 $MFT 页面缓存作品集，该作品集仍保留未经验证的、受 MST 保护的字节：该作品集由普通 iomap_read_folio（） 读取，post_read_mst_fixup（） 和 ntfs_mft_record_check（） 均未对其运行（两者均适用于私有副本）。 因此，m->usa_ofs 是不受信任的 u16，损坏的记录可使其超出记录末尾，因此双字节读取位于作品集之外。在创建文件时读取此类记录会在 KASAN： 缺陷下得到：
    KASAN：ntfs_mft_record_alloc+ 中的释放后使用... 地址处的读取大小为 2 ...ntfs_mft_record_alloc ->
    __ntfs_create -> ntfs_create -> path_openat 仅当usa_ofs为偶数且在范围内时才保留旧的更新序列号，以反映已应用的检查 ntfs_mft_record_check（）;否则将 USN 设置为零，下面的现有还原会跳过该值。（CVE-2026-90117）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/vt-d：拆卸探测故障时的可扩展模式上下文 intel_pasid_setup_sm_context（） 通过 pci_for_each_dma_alias（） 遍历 PCI 设备的 DMA 别名，并为每个 RID 编程可扩展模式上下文条目。
    对于具有dma_alias_mask的设备，将对设备自己的 RID 调用一次回调，为每个别名位调用一次，所有这些都具有相同的pci_dev，因此 device_pasid_table_setup（） 对多个 RID 运行。
    pci_for_each_dma_alias（） 在第一个回调错误时停止。因此，在 walk 中途失败可使已处理的 RID 的上下文条目存在，并且仍然指向设备的 PASID 表。在此错误路径上，intel_iommu_probe_device（） 当前直接跳转到 intel_pasid_free_table（），这样释放 PASID 表而无需首先去除这些上下文条目。
    然后 IOMMU 可遍历其 PASID 表指针引用已释放内存的当前上下文条目。
    intel_iommu_release_device（） 已在释放表前执行拆卸。在探测失败路径上应用相同的顺序。device_pasid_table_teardown（） 安全地处理从未编程过的 RID：
    iommu_context_addr（） 在未分配任何上下文表时返回 NULL，清除已经不存在的条目的 Present 位是非操作。因此，展开对于失败的别名和尚未访问的任何别名都是安全的。（CVE-2026-90241）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - i3c：master：修复设备注册期间的递归锁定 i3c_master_register_new_i3c_devs（） 在按住 i3c_bus_normaluse_lock（） 的同时注册新发现的设备，即 down_read（）。device_register（） 可以立即探测设备，探测回调通常会调用再次采用 i3c_bus_normaluse_lock（） 的 I3C 帮助程序，从而导致递归获取相同的 rwsem。rwsem 不支持递归读取锁定，可在写入器等待时死锁。请参阅 Documentation/locking/lockdep-design.rst 的递归读取锁定部分。例如，对于 Intel LPSS I3C，LOCKDEP 会生成如下的警告：# echo intel-lpss-i3c.0 > /sys/bus/platform/drivers/mipi-i3c-hci/unbind # echo intel-lpss-i3c.0 > /sys/bus/platform/drivers/mipi-i3c-hci/bind 警告：检测到可能的递归锁定 kworker/5:1/94 is trying to acquire lock： ffff88811c810d78 （&i3cbus->lock）{++++}-{4:4}， at：
    i3c_device_match_id+0x45/0x370但任务已保持锁定： ffff88811c810d78 （&i3cbus->lock）{++++}-{4:4}， at： i3c_master_reg_work_fn+0x21/0x5f0 通过将设备创建与设备注册分开来修复此问题。在维护锁定下填充 desc->dev，将仍需要注册的设备收集到本地列表中，然后在调用 device_register（） 之前释放锁定。最后，重新锁定并清除所有注册失败的设备。添加设备对象时，使用维护锁定而非正常使用锁定。写入端维护锁定阻止阅读器在初始设备填充期间观察到部分初始化的 desc->dev，或者在注册失败时阻止 desc->dev 消失。本地列表需要一个列表节点，因此请添加一个列表节点成员来构造i3c_device。
    (CVE-2026-93202)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：seq：不泄漏 bounce 负载中的扩展单元格指针 bounce_error_event（） 通过指向 data.ext.ptr 将失败事件嵌入到 bounce 负载中。当该事件是排队的变量长度事件时，它自己的 data.ext.ptr 将保留其第一个扩展单元格的地址，由 snd_seq_event_dup（） 放置在那里。负载通过 snd_seq_expand_var_event（） 逐字传出，因此地址可以到达用户空间。这是从事件标头删除的相同地址 commit 705dd6dcbc0e（ALSA：seq：读取时清除变量事件指针）。读取路径仍然会清除它，就在扩展负载的调用上方。请改为嵌入经过审查的副本，其处理方式与 snd_seq_read（） 处理标头的方式完全相同。
    堆栈复制就足够了，因为交付是同步的，并且在返回之前snd_seq_event_dup（）复制。非特权客户端可通过设置SNDRV_SEQ_FILTER_BOUNCE、将长度变量事件排队到不存在的端口，然后读取退回来达到这个目的。8 位，来自其自有池的 64 位。
    (CVE-2026-90220)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cxl/features：序列化多部分 Get/Set 功能传输 大于邮箱负载大小的 Get 或 Set 功能负载被拆分为多个邮箱命令。mbox_mutex 仅序列化各个邮箱命令，并在这些循环迭代之间被丢弃。没有任何内容将多部分传输作为一个整体进行序列化。cxl_get_feature（） 和 cxl_set_feature（） 可从 fwctl（在读取保留的注册锁定下运行的每个 fd RPC）和 EDAC scrub/ECS/repair 路径并发访问，因此到同一邮箱的两个传输可交错其部分并损坏设备的传输上下文。添加每个邮箱feat_mutex，并在两个函数的整个传输过程中保留它。它在 mbox_mutex 之外嵌套（在 cxl_internal_send_cmd（） 内部取得），并且不会在其他任何地方取得，因此不会引入锁定顺序反转。（CVE-2026-93096）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：ufs：debugfs：为字符串终止符预留空间 ufs_saved_err_write（） 将用户输入复制到零初始化的堆栈缓冲区并将其传递到 kstrtoint（）。填满整个缓冲区的写入会覆盖其唯一的终止符。拒绝其长度不会给末尾 NUL 留下任何空间的输入。
    (CVE-2026-92477)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ext4：访问 dirent 之前验证 readdir 偏移 当 ext4_readdir（） 从无效位置恢复时，损坏的目录可触发以下 KASAN 报告： 缺陷：KASAN：中的释放后使用
    __ext4_check_dir_entry+0x5ef/0x820 在 addr ffff88810a646000 处按任务 repro_linear/509 读取的大小为 2 调用跟踪： <TASK> dump_stack_lvl+0x53/0x70 print_report+0xd0/0x630 kasan_report+0xce/0x100
    __ext4_check_dir_entry+0x5ef/0x820 ext4_readdir+0xcde/0x2b70 iterate_dir+0x1a1/0x520
    __x64_sys_getdents64+0x12b/0x220 do_syscall_64+0xf9/0x540 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> 由于越界访问进入相邻的已释放页面，KASAN 报告释放后使用。仍会引用目录缓冲区本身。ext4_dir_llseek（） 会使目录 cookie 无效，因此 ext4_readdir（） 会从区块开头重新扫描目录条目。重新扫描仅检查rec_len下界，然后再继续。因此，损坏的rec_len可将偏移置于块空间不足以容纳完整目录条目的地方。重新扫描本身可能会取消引用该截断条目，或者主循环可能会将其传递到 __ext4_check_dir_entry（）。后者在验证范围之前读取 de->rec_len。例如：区块偏移量 0 4092 4096 |---- de1.rec_len = 4092 -----|----|de2.inode |de2.rec_len ^ OOB，报告为 UAF de2 在此 4 KiB 区块中的偏移 4092 处开始。它的四字节 inode 适合区块，但其rec_len从偏移量 4096 开始并越过边界。最小安全长度取决于 inode。加密和大小写折叠的目录条目需要 8 个额外的哈希字节，而有效的元数据校验和末尾只有 12 个字节。缓存元数据校验和功能状态，并从磁盘上的格式派生最小目录条目长度。使用它来绑定重新扫描和传递到主循环的偏移。报告截断的块尾部的偏移并跳过块的其余部分，同时继续接受正好在块边界处的偏移。（CVE-2026-92499）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - rtc：pcf8563：修复 unbind 上的时钟提供程序泄漏 pcf8563_clkout_register_clk（） 通过 of_clk_add_provider（） 注册 CLKOUT 时钟提供程序，但无法展开任何操作：没有 of_clk_del_provider（） 调用，驱动程序也没有 remove 回调。每个 of_clk_add_provider（） 分配一个结构of_clk_provider，在 OF 节点上进行引用，并将一个条目添加到全局of_clk_providers列表，当设备未绑定时，不会释放任何一个条目。因此，每次绑定/取消绑定（或模块重新加载）都会泄露提供程序结构和of_node引用。时钟本身已经由设备管理 （devm_clk_register（））;只有提供者注册没有。使用 devm_of_clk_add_hw_provider（） 以便在取消绑定时自动删除提供程序。将其绑定到父 i2c 设备，其 OF 节点携带 #clock-cells 和 clock-output-names 属性（RTC 类设备没有自己的 OF 节点）。（CVE-2026-90126）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/ipoib：模块拆卸期间的耗尽 RCU 回调 IPoIB 回收完成可从 RCU 回调内部发出信号。拆卸可在回调返回之前唤醒，并在其代码仍在执行时卸载ib_ipoib。客户端注册失败还可删除已添加的设备并排队回调。
    在客户端和工作队列拆卸后等待。（CVE-2026-93108）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：arm_scmi：在拆卸之前静默通知 scmi_notification_exit（） 清除并释放通知实例，但在释放 TX/RX 通道之前，传输回调仍然可以传递传入通知。删除期间，通知状态被拆散时，该窗口中的 RX 中断可进入 scmi_notify（），然后取消引用释放的内存。通知初始化之后，探测错误路径中存在相同的顺序。通知 late-init 工作线程还有一个单独的生命周期问题：协议事件注册会在系统工作队列上排入 ni->init_work，因此破坏 ni->notify_wq 不会耗尽该工作。如果在 devres 群组仍处于待定或运行init_work时释放，则 late-init 工作线程可取消引用释放的通知实例。在 TX/RX 通道停止之前将通知核心静默，然后在释放通知核心资源之前清理通道。使用 disable_work_sync（） 以便在通道拆卸开始之前，拒绝未来的 late-init 排队，并且完成任何已排队或正在运行的 late-init 工作。（CVE-2026-93091）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：拒绝 arena 基底以下的 arena 释放 bpf_arena_free_pages（） 接受标量 arena 地址。运行时将地址掩盖为低 32 位，并从 arena 基重新构造完整的用户地址，然后再将范围返回至 arena 空闲树状结构。当标量值低于 arena 基数的低 32 位时，full_uaddr会低于 user_vm_start。然后，现有的上端裁剪将此转换为超出范围的自由树偏移。以后的分配可以重用该偏移量并返回 arena 映射下方的地址。在计算裁剪范围之前拒绝此类释放。（CVE-2026-93045）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：hp-bioscfg：修复密码编码边界检查 从 ACPI 程序包复制受支持的密码编码时，密码 PSWD_ENCODINGS 解析器读取 password_obj[elem + pos_values]。外部循环仅保证 elem 在 password_obj_count 以内。编码计数以MAX_ENCODINGS_SIZE为界，但这并不能保证 ACPI 程序包包含所有 elem + pos_values 访问的足够条目。因此，畸形程序包可在未提供足够字符串对象的情况下声明非零编码计数，从而导致解析器读取 ACPI 程序包数组，并将越界字符串指针和长度传递到 hp_convert_hexstr_to_str（）。添加在读取 password_obj[elem + pos_values] 之前由其他基于偏移的程序包解析循环使用的相同 computed-index 边界检查。
    (CVE-2026-90137)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2/cluster：保持心跳信息本地节点稳定 o2nm_node_local_store（） 通过停止 o2net 并将 cl_local_node 设置为 O2NM_INVALID_NODE_NUM 来处理 local=0，但它保留cl_has_local设置。该过时状态会使 o2nm_this_node（） 返回 255，通过 -EBUSY 阻止后续的 local=1 尝试，并且可以将 255 馈送到动态调用 o2nm_this_node（） 的心跳信息用户。重置本地节点时需要清除cl_has_local。但心跳信息线程此时仍可运行。它们在启动时固定本地节点配置项目，但对于本地插槽和 o2nm_undepend_this_node（） o2hb_do_disk_heartbeat（） 和线程拆卸会重新读取 o2nm_this_node（）。一旦 local=0 清除实时本地节点状态，这些动态读取将返回 O2NM_MAX_NODES，这也是无效节点编号 255。当区域启动时，将本地节点编号存储在心跳信息区域中。将该稳定节点用于心跳信息插槽写入/检查、协商消息和最终的 configfs undepend。当当前本地节点不再匹配存储的节点时停止检测信号循环，并清除 local=0 路径中的cl_local_node cl_has_local，使 nodemanager 状态与节点删除匹配。验证重现了此内核报告：KASAN o2hb_do_disk_heartbeat+0x372/0xb30 中的 SLAB 越界 RIP： 0010：memset+0xf/0x20 读取大小为 8 调用跟踪：
    dump_stack_lvl+0x66/0xa0 print_report+0xd0/0x630 o2hb_do_disk_heartbeat+0x372/0xb30 （fs/ocfs2/cluster/heartbeat.c：1079） srso_alias_return_thunk+0x5/0xfbef5 __virt_addr_valid+0x188/0x2f0 kasan_report+0xe4/0x120 o2hb_do_disk_heartbeat+0x5/0xb30 （fs/ocfs2/cluster/heartbeat.c：1079） o2hb_thread+0x14e/0x770 kthread_affine_node+0x139/0x180 lockdep_hardirqs_on_prepare+0xda/0x190 trace_hardirqs_on+0x18/0x130 kthread+0x19d/0x1e0 ret_from_fork+0x37a/0x4d0 __switch_to+0x2d5/0x6f0 ret_from_fork_asm+0x1a/0x30 （CVE-2026-90322）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：gadget：configfs：修复 qw_sign os_desc_qw_sign_show（） 将 OS_STRING_QW_SIGN_LEN 作为输入长度传递给 utf16s_to_utf8s（） 的越界读取，但该参数会计算 UTF-16 代码单位，而 OS_STRING_QW_SIGN_LEN （14） 是 的字节大小 qw_sign[]。数组仅包含 OS_STRING_QW_SIGN_LEN / 2 （7） 个代码单位，因此当存储的签名填充数组而不使用 NUL 终止符填充数组时，转换最多读取 7 个单位（14 字节）超过其结尾的下列 struct gadget_info 成员 qw_sign[] ，从而通过 configfs 属性暴露这些字节。存储路径将其输入边界的计数减半，但将整个字节计数作为 utf8s_to_utf16s（） 输出限制传递;在两个方向上使用目标代码单位计数。（CVE-2026-93120）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - firmware：qcom：scm：在发布 __scm 之前修复 IRQ 处理程序中的空取消引用 在 qcom_scm_probe（） 中，devm_request_threaded_irq（） 在 smp_store_release（&__scm， scm） 之前调用。两条路径可取消引用
    __scm，两者皆导致空指针取消引用。IRQ 处理程序通过其 data 参数接收 scm，但仅wq_ctx传递给 qcom_scm_waitq_wakeup（） 和 qcom_scm_get_completion（），然后它们直接取消引用__scm。通过两个函数线程 scm，以便 IRQ 处理程序路径永远不会接触
    __scm。在探测期间（如通过 qcom_scm_shm_bridge_enable 从 qcom_tzmem_init）进行的非原子 SMC 调用可返回WAITQ_SLEEP，从而导致 qcom_scm_wait_for_wq_completion（） 在发布__scm前运行，并取消引用它。在探测早期添加 platform_set_drvdata（pdev， scm），并将 qcom_scm_wait_for_wq_completion（） 更改为获取设备指针并使用 dev_get_drvdata（） 访问 scm，从而删除对__scm的任何依赖关系。（CVE-2026-90397）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - gpu：host1x：避免使用 vsnprintf（） 的调试输出帮助程序 host1x_debug_output） 和 host1x_debug_cont（） 中的堆栈过度读取，它返回格式化字符串在使用未限制边界的缓冲区时可能达到的长度。该返回值作为要发出的字节数直接传递给 o->fn。如果调用 host1x_debug_* 产生的字符串长度超过 256 字节，这可能导致读取超过输出缓冲区的末尾。
    这仅影响 debugfs 文件，因为 printk 调试接收器会忽略字节数。实际上，这种情况不太可能发生。通过切换到 vscnprintf（） 进行修复，返回实际写入的字节数。（CVE-2026-93061）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：ath12k：避免 ath12k_wmi_op_rx（） 中的缓冲区过度读取 当前，在 ath12k_wmi_op_rx（） 中，会在未首先验证缓冲区是否有足够的数据来保存标头的情况下读取固件缓冲区。这可导致缓冲区过度读取。更新逻辑以验证缓冲区至少包含足够的数据来容纳wmi_cmd_hdr，然后再从缓冲区读取。测试时间： WCN7850 hw2.0 PCI WLAN。HMT.1.1.c7-00108-QCAHMTSWPL_V1.0_V2.0_SILICONZ_UPSTREAM-3 （CVE-2026-92497）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/core：修复 ib_free_cq（） 中潜在的释放后使用 通过 netlink 路径访问 CQ 时，所述 CQ 的唯一同步机制为 rdma_restrack_get（）。目前，rdma_restrack_del（） 在 ib_free_cq（） 的末尾调用，为时已晚，因为此时与 CQ 关联的供应商特定资源可能已经释放。这可能会留下一个短暂的窗口，其中 CQ 仍可通过重新跟踪访问，从而导致潜在的释放后使用。通过将 rdma_restrack_del（） 调用移动到释放供应商特定资源之前，确保在释放 CQ 内部资源之前从 restrack 中删除 CQ，来修复此问题。这可保证没有新用户持有对正在销毁的 CQ 的引用。（CVE-2026-92508）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/smc：IPPROTO_SMC套接字创建失败时释放内部 TCP sock，IPPROTO_SMC套接字从 proto->init 挂钩创建内部 TCP sock。当 proto->init 运行后套接字创建失败时（例如附加到 BPF_CGROUP_INET_SOCK_CREATE 的 cgroup BPF 程序拒绝套接字），sk_common_release（） 只会在设置 sk_prot->destroy，但 smc_inet_prot 和 smc_inet6_prot 都未对其进行定义，除非SMC_CLOSED sk_state，否则 smc_destruct（） 会提早返回。因此，每个失败的 socket（AF_INET、SOCK_STREAM、IPPROTO_SMC） 调用都会泄露一个tcp_sock，因此能够将全部拒绝 BPF_CGROUP_INET_SOCK_CREATE 程序附加到自己的 cgroup 的非特权任务可无限增加内核内存。向通过 smc_clcsock_release（） 释放 clcsock 的两个原型添加 .destroy 挂钩。
    smc_sk_init（） 在创建 clcsock 之前将 sock 哈希到 SMC 哈希信息中，smc_diag 转储经过该哈希取消引用 smc->clcsock 而不进行clcsock_release_lock，而 sk_common_release（） 会在调用 .unhash 之前调用 .destroy。像 __smc_release（） 一样在释放 clcsock 之前对 sock 进行反哈希，因此并发转储无法观察释放;sk_common_release（） 中的第二个反哈希是 no-op。
    (CVE-2026-90065)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - pinctrl：airoha：添加缺少的 IRQ 资源帮助程序 如果不挂钩.irq_request_resources，gpiolib 无法设置GPIOD_FLAG_USED_AS_IRQ。这打破引脚方向锁定，并可允许用户空间或其他驱动程序将活动 IRQ 引脚重新配置为输出 （CVE-2026-90258）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - md/md-llbitmap：阻止创建失败位图 UAF llbitmap_create（） 在读取位图超级块之前发布 mddev->bitmap。需要此绑定是因为 llbitmap_read_sb（） 可以初始化新位图并通过使用 mddev->bitmap 的帮助程序对其进行刷新。如果 llbitmap_read_sb（） 失败，则在清除 mddev->bitmap 之前，旧清除会终止 bitmap_info.mutex 并释放 llbitmap。像 /proc/mdstat 这样的阅读器在收集位图统计数据时依赖 bitmap_info.mutex 来保持位图指针的稳定性，因此它们可以在失败的创建路径释放互斥体之后观察过时指针。仍保留 bitmap_info.mutex 时清除 mddev->bitmap，然后在放置互斥体后释放失败的 llbitmap。这会使受互斥体保护的阅读器看到实时位图，或者看不到位图。（CVE-2026-90277）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：锁定失败时队列和堆栈输出为零队列和堆栈弹出/扫视帮助程序接受未初始化的输出缓冲区，因为校验器预期帮助程序对其进行初始化。empty-map 错误路径会清除缓冲区，但失败的锁定采集返回 -EBUSY 而不写入。在返回 -EBUSY 之前清除输出，以便 BPF 程序在帮助程序调用失败后无法观察到未初始化的堆栈内容。
    (CVE-2026-92520)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86/amd/hsmp：拒绝 hwmon 中的负功率上限写入 hsmp_hwmon_write（） 将用户提供的 hwmon 值作为有符号的 long 并将 val / MICROWATT_PER_MILLIWATT 分配给 msg.args[0]，这是一个__u32。MICROWATT_PER_MILLIWATT 是一个无符号长整形，因此对power1_cap的负写入（例如 echo -1 > power1_cap）首先通过除法转换为一个巨大的无符号值，然后存储到 u32 参数中。因此，通过HSMP_SET_SOCKET_POWER_LIMIT将无意义的数 GB 套接字电源限制发送到 SMU，而不是拒绝写入。拒绝转换前使用 -EINVAL 的负值。在启用 HSMP 的情况下进行测试： CAP=$(dirname $(grep -l amd_hsmp_hwmon \ /sys/class/hwmon/hwmon*/name | head -1)）/power1_cap # 负写入 echo -1000000 > $CAP ; echo ret=$？ # 有效的正写入必须仍有效 echo 4000000000 > $CAP ; echo ret=$？之前： # echo -1000000 > $CAP ; echo ret=$？ ret=0 <- 已接受;发送到 SMU 的虚假限制 # echo 400000000 > $CAP ; echo ret=$？ ret=0 之后： # echo -1000000 > $CAP ; echo ret=$？ bash： echo： 写入错误： 无效参数 ret=1 <- 通过 -EINVAL # echo 4000000000 > $CAP 被拒绝 ; echo ret=$？ ret=0 <- 有效写入仍然有效 （CVE-2026-90136）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/rxe：避免在 QP 进入错误状态后重新处理当前数据包 当 do_complete（） 发现处于错误状态的 QP 时，返回RESPST_CHK_RESOURCE。提交 49dc9c1f0c7e 之前（RDMA/rxe：
    rxe_resp.c 中的清除重置状态处理） 这就是刷新循环：check_resource（） 有一个错误状态分支，该分支在不接触当前数据包的情况下获取每个剩余的 recv WQE 并以 IB_WC_WR_FLUSH_ERR 完成它。该提交从 check_resource（） 中删除了错误状态分支（现在在 rxe_receiver（） 条目处完成耗尽），但保留了 do_complete（） 错误状态返回。因此，当 QP 在数据包完成时进入错误状态（例如，rdma_cm断开连接时会与接收处理争用）
    - 响应器状态机环回请求处理链，手头还有已完成的数据包：check_resource（） 提取新的 recv WQE，execute（）/send_data_in（） 再次复制相同的数据包负载，do_complete（） 发布另一个IB_WC_SUCCESS CQE（qp->resp.status 仍为 0），控制返回错误状态检查。循环会根据每个已发布的 recv WQE 重新执行同一数据包一次（观察到：一个 SEND 的 ~1000 次重复IB_WC_SUCCESS完成，每 ~8us 完成一次，与 RQ 占用情况相匹配），直到 RQ 耗尽为止，之后 qp->resp.wqe 为空且 send_data_in（） 取消引用它：缺陷：
    内核空指针取消引用，地址：0000000000000014 工作队列：rxe_wq do_work RIP：
    copy_data+0x29/0x1f0 调用跟踪：send_data_in+0x25/0x50 rxe_receiver+0xf36/0x1dd0重复完成与 ULP 的实际接收无法区分。在 rds 压力测试期间，消息被当作新消息接受，并将相同的数据报发送到用户空间数百次，从而损坏流;任何依赖 RC 精确交付的 ULP 都会受到影响。到达 do_complete（） 中错误状态检查的实时数据包只执行并完成了一次，必须消耗，而不是重新处理。返回RESPST_CLEANUP（出列和释放）;持续返回 pkt == NULL 情况的 RESPST_CHK_RESOURCE。（CVE-2026-93107）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/sched：hhf：在 hhf_change（） 之前钳制 quantum 以避免溢出 hhf_init（） 设置 q->quantum = psched_mtu（qdisc_dev（sch）），而不进行溢出检查。具有巨大 MTU 的设备（例如接受 MTU 2147483634 的 max_mtu == 0 的虚拟设备）使权重 * 量子溢出成为 hhf_dequeue（） 中有符号的缺陷，并永远旋转。在 hhf_change（） 之前钳制 q->quantum，以便 opt 和 ！opt 路径都能看到合理的量子。如果没有此操作，则裸 tc qdisc 添加 ...HHF 使用钳制的量子成功，但 tc qdisc 添加 ...hhf limit 1000（存在的任何选项）因 -EINVAL 而失败，因为 hhf_change（） 重新验证未限制的默认值 （sch_hhf.c：559）。256 与 fq_codel 的底线相匹配，对于 DRR 量子来说是一个合理的最低值。重现缺陷的条件：MTU（加上 hard_header_len）将 psched_mtu（） 封装到符号位中的设备（例如，max_mtu == 0 接受 MTU 2147483634的虚拟设备）。需要用户命名空间中的CAP_NET_ADMIN。
    (CVE-2026-90073)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - clk：qcom：camcc-sc8280xp：取消注册CAMCC_GDSC_CLK 在 clk 和 pmdomain 子系统中引入sync_state支持后，camcc-sc8280xp 中未使用的时钟关闭时会出现以下警告： [ 15.408367] titan_top_gdsc状态停滞在“on” [ 15.408429] 警告：
    drivers/clk/qcom/gdsc.c：178 at gdsc_toggle_logic+0x14c/0x160， CPU#2： kworker/u32：1/14 [ 15.408462] 链接的模块：bnep vfat fat ath11k_pci（+） ath11k mac80211 cfg80211 mhi libarc4 snd_soc_wcd938x snd_soc_wcd938x_sdw snd_soc_wcd_classh hci_uart snd_soc_wcd_common snd_soc_sc8280xp soundwire_qcom snd_soc_wcd_mbhc snd_soc_qcom_sdw slimbus snd_soc_qcom_common regmap_sdw btqca btrtl qcom_camss soundwire_bus btbcm btintel snd_soc_sdcasnd_soc_lpass_wsa_macro bluetooth snd_soc_lpass_tx_macro snd_soc_lpass_va_macro snd_soc_lpass_rx_macro snd_soc_hdmi_codec snd_soc_lpass_macro_common videobuf2_dma_sg ov5675 v4l2_fwnode videobuf2_memops qcom_spmi_adc5 snd_soc_core qcom_spmi_adc_tm5 videobuf2_v4l2 snd_seq snd_seq_device videobuf2_common v4l2_async qcom_vadc_common qcom_spmi_temp_alarm pm8941_pwrkey industrialio videodev snd_compress rfkill ac97_bussnd_pcm_dmaengine qcom_tsens mc qcom_edac snd_pcm pci_pwrctrl_pwrseq qcom_cpufreq_hw snd_timer snd qcomtee soundcore tee leds_gpio joydev binfmt_misc zram lz4hc_compress governor_simpleondemand panel_edp msm xhci_plat_hcd nvme nvme_core dwc3 qcom_pm8008_regulator [ 15.408688] ucsi_glink nvme_keyring nvme_auth pmic_glink_altmode udc_core typec_ucsi aux_hpd_bridge qcom_battmgr ulpi ubwc_config socinfo ocmem drm_gpuvm qcom_q6v5_pas drm_execqcom_pil_info leds_qcom_lpg gpu_sched led_class_multicolor rtc_pm8xxx qcom_pbs qcom_common drm_display_helper qcom_pon qcom_glink_smem qcom_glink ghash_ce pwrseq_qcom_wcn gpio_sbu_mux qcom_stats phy_qcom_qmp_combo qcom_q6v5 GF128MUL CEC dispcc_sc8280xp phy_qcom_edp camcc_sc8280xp i2c_qcom_cci qcom_sysmon drm_dp_aux_bus mdt_loader aux_bridge qcom_pm8008 i2c_hid_of_elan dwc3_qcom_legacy llcc_qcom icc_bwmon gpi typec qcom_refgen_regulator phy_qcom_qmp_usb nvmem_qfprom qcom_ipcc phy_qcom_snps_femto_v2 gpucc_sc8280xp pinctrl_sc8280xp_lpass_lpi qcom_hwspinlock pinctrl_lpass_lpi lpasscc_sc8280xp qrtr qcom_aoss pmic_glink pdr_interface phy_qcom_qmp_pcie qcom_smd qcom_pdr_msg icc_osm_l3 qcom_wdt qmi_helpers qcom_rng smp2p rpmsg_core gpio_keys pwm_bl smem hid_multitouch fuse i2c_dev [ 15.408928] CPU： 2 UID：0 PID：14 通信：kworker/u32：1 未受感染 7.1.0+ #2 PREEMPT（lazy） [ 15.408937] 硬件名称：LENOVO 21BX0016US/21BX0016US，BIOS N3HET88W （1.60 ） 03/14/2024 [ 15.408942] 工作队列：下午pm_runtime_work [15.408959] pstate：60400005 （nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--） [ 15.408967] pc：
    gdsc_toggle_logic+0x14c/0x160 [ 15.408978] lr： gdsc_toggle_logic+0x14c/0x160 [ 15.408987] sp：
    ffff8000800f3b40 [ 15.408991] x29： ffff8000800f3b40 x28： 00000000000000000 x27： 0000000000000000 [15.409003] x26： 0000000000000000 x25： 00000000000000000 x24： 0000000000000000 [ 15.409014] x23：
    0000000000000000 x22： 0000000000000001 x21： fffffa33f298fca88 [ 15.409024] x20： 00000000000000000 x19：
    ffffa33f298fc5b0 x18： 00cd15db75dacefd [ 15.409035] x17： 000000040044ffff x16： ffffa33f3b1a3d88 x15：
    726f776b80000002 [ 15.409045] x14： ffffffffff x13： 0000000000000028 x12： 0101010101010101 [15.409056] x11： 7f7f7f7f7f7f7f7f7f x10： fefeff3039313274 x9： ffffa33f3a5edafc [ 15.409067] x8：
    ffff8000800f3780 x7： 0000000000000001 x6： 0000000000000001 [ 15.409078] x5： ffff000bf3ca1288 x4：
    0000000000000000 x3 ： ffff5cccb6a3f000 [ 15.409088] x2 ： 0000000000000000 x1 ： 0000000000000000 x0：
    ffff000080ae0000 [ 15.409098] 调用跟踪： [ 15.409103] gdsc_toggle_logic+0x14c/0x160 （P） [ 15.409115] gdsc_disable+0x4c/0x190 [ 15.409126] _genp ---truncated--- （CVE-2026-93113）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - misc：ad525x_dpot：将驱动程序核心群组用于 sysfs 文件 ad_dpot_probe（） 手动创建 per-RDAC sysfs 文件，然后选择性地创建命令 sysfs 群组。这使探测负责回滚部分 sysfs 状态，并使 remove 负责匹配探测创建的每个文件。将设备属性移动到 I2C 和 SPI 驱动程序的驱动程序核心dev_groups中，并使用 is_visible（） 回调仅暴露被探测设备支持的属性。使用此形状，驱动程序核心仅在探测成功后创建 sysfs 文件，并在删除回调释放驱动程序数据之前删除它们。
    (CVE-2026-93051)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - octeontx2-af：修复 NIX TM 树中的空取消引用 debugfs 读取路径 rvu_dbg_nix_tm_tree_display（） 取消引用 pfvf->sq_ctx，而未检查是否已分配 SQ 上下文。为传输队列未设置的 NIX LF 读取 /sys/kernel/debug/octeontx2/nix/tm_tree 会触发内核 oops。以与 rvu_dbg_nix_tm_tree_write（） 相同的方式保护读取路径，当sq_ctx为 NULL 时返回 -EINVAL 和seq_file消息。（CVE-2026-90085）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/cxgb4：当 TPT 条目写入失败时释放 STAG 索引 write_tpt_entry（） 使用 c4iw_get_resource（） 分配新的 STAG 索引并在对条目进行编程之前升级stats.stag.cur。当 write_adapter_mem（） 失败时，它会返回错误，而不释放索引或反转统计信息。rhp->MRS 中未插入任何 MR，因此注销永远不会回收它，从而在设备拆卸之前泄漏索引。记录此调用是否分配了索引，并在写入失败时将其返回tpt_table并减少stats.stag.cur。
    同时针对写入错误和该标记（而不是单独的错误）设置回滚的密钥：非重置更新带有调用程序拥有的 STAG，该调用未分配且不得释放。（CVE-2026-90415）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
347382	Linux Distros 未修补的漏洞：CVE-2026-90421	medium
347381	Linux Distros 未修补的漏洞：CVE-2026-90296	medium
347380	Linux Distros 未修补的漏洞：CVE-2026-93095	high
347379	Linux Distros 未修补的漏洞：CVE-2026-90245	medium
347378	Linux Distros 未修补的漏洞：CVE-2026-90165	medium
347377	Linux Distros 未修补的漏洞：CVE-2026-90351	medium
347376	Linux Distros 未修补的漏洞：CVE-2026-90342	medium
347375	Linux Distros 未修补的漏洞：CVE-2026-90097	high
347374	Linux Distros 未修补的漏洞：CVE-2026-90214	medium
347373	Linux Distros 未修补的漏洞：CVE-2026-90320	high
347372	Linux Distros 未修补的漏洞：CVE-2026-90149	high
347371	Linux Distros 未修补的漏洞：CVE-2026-93040	medium
347370	Linux Distros 未修补的漏洞：CVE-2026-92492	medium
347369	Linux Distros 未修补的漏洞：CVE-2026-90327	high
347368	Linux Distros 未修补的漏洞：CVE-2026-93046	high
347367	Linux Distros 未修补的漏洞：CVE-2026-90192	medium
347366	Linux Distros 未修补的漏洞：CVE-2026-90428	medium
347365	Linux Distros 未修补的漏洞：CVE-2026-93126	medium
347364	Linux Distros 未修补的漏洞：CVE-2026-90100	medium
347363	Linux Distros 未修补的漏洞：CVE-2026-90162	high
347362	Linux Distros 未修补的漏洞：CVE-2026-93065	medium
347361	Linux Distros 未修补的漏洞：CVE-2026-90117	medium
347360	Linux Distros 未修补的漏洞：CVE-2026-90241	high
347359	Linux Distros 未修补的漏洞：CVE-2026-93202	medium
347358	Linux Distros 未修补的漏洞：CVE-2026-90220	medium
347357	Linux Distros 未修补的漏洞：CVE-2026-93096	medium
347356	Linux Distros 未修补的漏洞：CVE-2026-92477	high
347355	Linux Distros 未修补的漏洞：CVE-2026-92499	medium
347354	Linux Distros 未修补的漏洞：CVE-2026-90126	high
347353	Linux Distros 未修补的漏洞：CVE-2026-93108	high
347352	Linux Distros 未修补的漏洞：CVE-2026-93091	medium
347351	Linux Distros 未修补的漏洞：CVE-2026-93045	high
347350	Linux Distros 未修补的漏洞：CVE-2026-90137	high
347349	Linux Distros 未修补的漏洞：CVE-2026-90322	medium
347348	Linux Distros 未修补的漏洞：CVE-2026-93120	high
347347	Linux Distros 未修补的漏洞：CVE-2026-90397	medium
347346	Linux Distros 未修补的漏洞：CVE-2026-93061	medium
347345	Linux Distros 未修补的漏洞：CVE-2026-92497	high
347344	Linux Distros 未修补的漏洞：CVE-2026-92508	high
347343	Linux Distros 未修补的漏洞：CVE-2026-90065	medium
347342	Linux Distros 未修补的漏洞：CVE-2026-90258	medium
347341	Linux Distros 未修补的漏洞：CVE-2026-90277	medium
347340	Linux Distros 未修补的漏洞：CVE-2026-92520	medium
347339	Linux Distros 未修补的漏洞：CVE-2026-90136	medium
347338	Linux Distros 未修补的漏洞：CVE-2026-93107	high
347337	Linux Distros 未修补的漏洞：CVE-2026-90073	medium
347336	Linux Distros 未修补的漏洞：CVE-2026-93113	medium
347335	Linux Distros 未修补的漏洞：CVE-2026-93051	high
347334	Linux Distros 未修补的漏洞：CVE-2026-90085	high
347333	Linux Distros 未修补的漏洞：CVE-2026-90415	high

检测

Nessus 的 Misc. 系列

medium

medium

high

medium

medium

medium

medium

high

medium

high

high

medium

medium

high

high

medium

medium

medium

medium

high

medium

medium

high

medium

medium

medium

high

medium

high

high

medium

high

high

medium

high

medium

medium

high

high

medium

medium

medium

medium

medium

high

medium

medium

high

high

high