Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - f2fs：修复以在free_segment_range期间迁移所有 curseg 类型 在 free_segment_range（） 中，curseg 撤出循环最多只能迭代 NR_CURSEG_PERSIST_TYPE （0..5），缺失非持久性内存中 curseg 类型，如 CURSEG_COLD_DATA_PINNED 和 CURSEG_ALL_DATA_ATGC。即使这些内存内 curseg 类型未保存在磁盘上的检查点标头中，它们在运行时仍会占用活动的物理段。如果在文件系统收缩期间恰好在要截断的段范围内分配了活动的内存内 curseg，则不撤出将导致对 curseg 的后续写入尝试在截断的存储范围内进行越界 I/O。通过将 curseg 疏散循环上限扩大到 NR_CURSEG_TYPE 来修复此问题，以确保所有活动的 curseg 类型都安全迁移出目标范围。
    (CVE-2026-89834)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSD：阻止在块锁回收期间客户端释放后使用 裸锁所有者（其仅存的引用，即 nn->blocked_locks_lru 上的块锁定）保留指向其nfs4_client的原始指针，但没有保持客户端活动的引用。当每网络自助洗衣店获得此类锁定时，释放 nbl 会终止通过 flc_owner 保留的所有者引用，最终的 nfs4_put_stateowner（） 会获取客户端的cl_lock。由于自助洗衣店首先分离 nbl，__destroy_client（） 不再找到它，并行 force_expire_client（） 可以在 nfs4_put_stateowner（） 运行之前释放客户端，从而取消引用已释放内存中的cl_lock。在放置 nn->blocked_locks_lock 之前通过 cl_rpc_users 固定客户端，并跳过已经到期的客户端，其阻止的锁定 __destroy_client（） 在保留所有者引用的同时释放。
    将 nn->client_lock 置于 nn->blocked_locks_lock 之外。所有其他站点都将 nn->blocked_locks_lock 保存为叶，不会获取进一步的锁定，因此将 nn->client_lock 放在叶之外无法形成锁定顺序循环。
    (CVE-2026-90036)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvme：如果区域信息查询失败，则跳过分区限制更新 nvme_query_zone_info（） 返回负的 errno 或肯定的 NVMe 状态代码，但是 nvme_update_ns_info_block（） 仅测试否定情况：ret = nvme_query_zone_info（ns， lbaf， &zi）;if （ret < 0） goto out;如果设备无法执行 Identify Namespace （I/O Command Set specific） 命令，或 nvme_set_max_append（） 发出的 Identify Controller 命令失败，则肯定状态会失败，设置继续进行零初始化区域信息。然后，nvme_update_zone_info（） 将队列标记为 chunk_sectors 分区，并将 ns->head->zsze 设置为零。blk_validate_zoned_limits（） 不检查chunk_sectors，因此限制提交成功。
    blk_revalidate_disk_zones（） 确实拒绝零区域大小，但到那时限制已生效，并且没有任何内容可以将其回滚，因此 I/O 会一直提交到区域大小为零的分区队列，并且 ilog2（0） 的 disk_zone_no（） 位移）：nvme0n1： 两个区域大小的无效非幂 （0） UBSAN： include/linux/blkdev.h：747：16 中的位移越界 位移指数 -1 为负disk_zone_no include/linux/blkdev.h：747 [内联] bio_straddles_zones include/linux/blkdev.h：1058 [内联] blk_zone_wplug_handle_write block/blk-zoned.c：1423 [内联] blk_zone_plug_bio.cold+0x25/0x1c8 block/blk-zoned.c：1605 blk_mq_submit_bio+0x18fb/0x2870 block/blk-mq.c：3196 submit_bh_wbc+0x575/0x740 fs/buffer.c：2824
    __block_write_full_folio+0x728/0xdd0 fs/buffer.c：1933 此命令失败的任何设备、固件或 NVMe-oF 目标都会达到此目标。在这种情况下跳过分区限制更新，并记录发生的两种情况中的哪一种：在重新验证期间，队列保留上次验证时使用的区域几何，并且在第一次扫描时，注册的命名空间没有分区限制，因此它仍可用作管理员命令的句柄。nvme_query_zone_info（） 中返回正状态的路径均不会记录任何内容，因此失败将在其他情况下静默。zi.zone_size是一个精确的指标：每个返回正状态的路径都会在分配之前返回，之后唯一剩下的失败是 -ENODEV，调用者已经处理了它。由 FuzzNvme 发现。(CVE-2026-89971)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：i2c：ov02a10：修复端点解析释放后使用 ov02a10_check_hwcfg（） 函数在分配并解析端点之后立即调用 fwnode_handle_put（ep）。但是，它随后会使用相同的“ep”句柄调用 fwnode_property_read_u32（），从而可能导致释放后使用。
    此外，还读取用于覆盖“ret”变量的可选“ovti，mipi-clock-voltage”属性。如果缺少该属性，“ret”将变为负数，并且该失败代码将在函数结束时错误地返回，从而导致探测完全失败。通过在解析和释放端点之前移动 fwnode_property_read_u32（），修复了释放后使用。通过不将 fwnode_property_read_u32（） 的结果分配给“ret”避免错误泄漏。（CVE-2026-89888）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：harmony：请求 IRQ 前初始化锁 snd_harmony_create（） 在初始化 h->lock 和 h->mixer_lock 之前注册 IRQ。待定的中断可在这些锁未初始化时调用处理程序。请求 IRQ 之前初始化这两个锁定，以便处理程序始终查看有效的锁定状态。（CVE-2026-89980）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - KVM：arm64：针对基于范围的 TLBI 无效的符号扩展 VA 将 decode_range_tlbi（） 帮助程序移动到 S1 TLBI 时，所需的符号扩展将被省略。添加它。因此，将其用于 S2 失效时，必须特别注意不要溢出 PA 位。（CVE-2026-89914）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvdimm/btt：拒绝 nfree 低于车道计数的竞技场 BTT 信息块的 nfree 字段，即预留可用块的数量，未经验证就从媒体读取。btt_freelist_init（） 和 btt_rtt_init（） 通过 nfree 调整每通道 freelist[] 和 rtt[] 数组的大小，但 I/O 路径按来自 nd_region_acquire_lane（） 的通道为它们编制索引，其以 nd_region->num_lanes （ND_MAX_LANES） 为边界，而不是以 nfree 为边界。nfree 低于车道计数的特制或外来 arena 使 freelist[lane]/rtt[lane] 运行超过分配：越界写入。btt.rst 记录了代码当前未遵从的 nlanes = min（nfree， num_cpus） 不变量：无论 nfree 如何，都会ND_MAX_LANES num_lanes。拒绝发现时 nfree 低于 num_lanes 的 arena，然后再分配每通道数组，强制执行该不变量。（CVE-2026-89965）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：拒绝状态中的非 SCSI SRB IOCB 快速路径 qla2x00_status_entry（） 过滤掉非TYPE_SRB条目以及SRB_NVME_CMD、SRB_BIDI_CMD 和 SRB_TM_CMD 类型，然后转向假定该命令是SRB_SCSI_CMD的 SCSI 快速路径。该路径上的第一件事 qla_chk_edif_rx_sa_delete_pending（） 和后续处理都评估 GET_CMD_SP（sp），即
    sp->u.scmd.cmd。srb u union 将 SCSI 命令指针与其他命令布局（bsg_job、iocb_cmd）重叠。如果固件为非 SCSI 句柄提供非预期的 STATUS_TYPE IOCB，sp->u.scmd.cmd 可能读取为非空垃圾指针，从而绕过 qla_chk_edif_rx_sa_delete_pending（） 中和 cp == NULL 测试时的空检查，并导致失控指针取消引用。进入快速路径之前，拒绝任何类型未SRB_SCSI_CMD的 SRB。outstanding_cmds插槽保持不动，因此真正非 SCSI 命令仍可通过其正确的处理程序完成。（CVE-2026-89849）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：rmi：修复因尺寸过小的 RMI 报告而造成的 OOB 访问 hid-rmi 驱动程序完全根据设备提供的报告描述符来调整其 writeReport/readReport 缓冲区大小，没有最小边界：
    数据>input_report_size = hid_report_len（input_report）;数据>output_report_size = hid_report_len（output_report）;alloc_size = 数据>output_report_size + 数据>input_report_size;
    data->writeReport = devm_kzalloc（&hdev->dev， alloc_size， GFP_KERNEL）;data->readReport = data->writeReport + data->output_report_size;但随后会读取并写入固定偏移。声明 1 字节输出和 1 字节输入报告的设备会使 hid_report_len（） 为每个报告返回 2，因此 alloc_size 为 4，而 rmi_set_page（） -- 在探测时通过 rmi_input_configured（） 无条件达到 -- 存储 writeReport[4]，rmi_hid_read_block（） 存储 writeReport[0..5]。由于 readReport 位于 writeReport + output_report_size，这些存储也会损坏下一个回复进行解析的窗口。读取路径更糟糕：复制长度来自设备填充的 readReport[1]，最多可达 255，副本从 &readReport[2] 开始，不考虑input_report_size，因此它会超过分配的末尾运行到相邻的 slab 对象中。这甚至不需要躺着的设备 -- rmi_f01_probe（） 会发出固定的 21 字节寄存器读取，因此任何宣告输入报告小于 23 字节的设备都会越界读取，即使其如实应答也是如此。这些字节成为 RMI 核心作用于的寄存器值：
    rmi_f01_probe（） 将其作为产品 ID 打印到内核日志，并通过同名的模式 0444 sysfs 属性导出，rmi_driver_set_irq_bits（） 将它们作为中断掩码发送回设备，因此过小的报告描述符会将堆内容泄漏至非特权用户空间和设备本身。写入路径也没有边界：rmi_hid_write_block（） 将一个无限的 len 复制到 &writeReport[4]，设备在探测时可以驱动的最大调用程序是 rmi_driver_set_irq_bits（），其长度来自设备在其页面描述表中声明的中断源计数。最后，读取循环不能在零长度回复时终止：此类回复不复制任何内容，既不bytes_read也不前进bytes_needed，并且由于回复确实到达了 1 秒 wait_event_timeout（） 也不触发，因此回答 0 的设备永远保持循环在探测工作线程中运行，并保留page_mutex。khungtaskd 不会注意到，因为每个回复都会唤醒任务。
    拒绝对驱动程序所构建内容而言太小的报告 -- 6 个输出字节用于写入报告，3 个输入字节用于读取握手 -- 在探测时，将写入和读取副本限制到报告大小到设备声明的大小，并将零长度回复视为错误。以此方式拒绝的设备将作为普通 HID 设备启动，例如完全不携带 RMI 报告 ID 的设备。该路径上不得将 RMI_DEVICE 保留在 device_flags 中设置，因为 rmi_input_configured（） 随后将运行 RMI 设置并到达 rmi_set_page（），后者会写入 writeReport 缓冲区，而该缓冲区刚刚略过了分配。该位可以到达 set：rmi_probe（） 在报告检查之前将 id->driver_data 复制到 device_flags，通过 new_id sysfs 属性的绑定可提供具有RMI_DEVICE （BIT（0）） 集的driver_data。剥离复制driver_data处的位，以便RMI_DEVICE继续表示此探测验证了报告;还涵盖了此修补程序之前的三个启动跳转。错误路径还清除了RMI_READ_DATA_PENDING，因为该标志是循环顶部的等待测试的内容：
    保持该设置将使每个后续的 wait_event_timeout（） 在过时回复中立即返回，并在设备的剩余生命周期内终止读取路径。钳制不会回归工作硬件：读取循环已处理 ---truncated--- （CVE-2026-90000）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - LoongArch：不在 rethook trampoline 中保存/还原 percpu 基本寄存器 rethook trampoline 在进入时将 21 （$u0）（percpu 基础）保存$r到其框架中，并在退出时还原它。Inbetween rethook_trampoline_handler（） 可通过 preempt_enable_notrace（） 进行计划。如果任务迁移到另一个 CPU，则框架的 $r21 会保留旧 CPU 的 percpu 基础，而恢复它会使新 CPU 上的 21 中毒 $r。在下一个用户>内核转换修复 $r21 之前，所有 this_cpu_*（） 访问（runqueue、RCU 每 CPU 数据、定时器刻度编程、FPU 所有权）都命中错误的 CPU percpu 区域。在 kretprobe-heavy 抢占式负载下，这可损坏计划程序和定时器状态：原子时计划、错误的 CPU RCU 警告、nohz_balance_exit_idle（） 中的 WARN_ON_ONCE（rq ！= this_rq（）），以及 CPU 停靠在空闲循环中常数定时器从未重新布防（硬锁定）。在 VFS 路径上的 kretprobes 加上繁重的文件改动 （OS install / unsquashfs） 的龙芯 3A6000 上重现。按照惯例 $r，21 始终保留内核模式下当前 CPU 的 percpu 基础：异常条目的 SAVE_SOME（） 仅在来自用户模式时重新加载它，而 RESTORE_SOME（） 仅在返回用户模式时才恢复它;上下文切换路径从不写入它。
    因此，trampoline 出口处的 live $r21 已经正确，中间的任何内容都无法合法地更改它（内核 C 代码无法写入全局寄存器变量）。自 v6.3 以来，即使在 pre-rethook kretprobe 蹦床中也存在相同的缺陷;当 Rethook 更换它时，它被继承了。此处同时删除保存和还原。终止还原足以解决问题，终止保存是为了保持代码整洁，无需清除。（CVE-2026-89903）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - f2fs：将恢复文件名记录限制为存储长度 F2FS 将恢复文件名存储为长度加上固定大小的i_name缓冲区。缓冲区不是以 NUL 结束，而是 recover_inode（） 和 recover_dentry（） 通过 %s 打印缓冲区。对于 255 字节的文件名，恢复日志记录可以将过去的i_name读入以下原始 inode 字段。以以i_namelen和F2FS_NAME_LEN为边界的精度打印名称。（CVE-2026-89838）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：em28xx：延迟纯音频扩展注册 探测主要设备时，纯音频路径会注册扩展。对于双TS板，这发生在创建dev_next之前。重复的设备继承is_audio_only，然后独立地插入em28xx_devlist。该列表旨在仅包含主要设备：扩展操作通过dev_next到达辅助设备。独立链接的辅助节点可在断开连接期间释放，而其列表节点仍然可访问，从而导致释放后使用。将仅音频扩展注册延迟到 module-request 工作项。它仅在探测完成可选辅助设备的构造后运行，因此仅注册主设备，并且扩展回调通过dev_next到达辅助设备。（CVE-2026-89892）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：cec：序列化独占跟随者传送 cec_receive_notify（） 在无适配器锁定的情况下读取独占跟随者指针。根据模式变更和版本序列化无关注者检查和消息传递。（CVE-2026-89897）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：intel/ipu6：修复解析错误 isys_notifier_init（） 调用 v4l2_async_nf_init（） 然后在具有 v4l2_async_nf_add_fwnode_remote（） 的循环中添加 fwnode 远程子开发时的异步通知器清理泄漏。
    如果端点解析或添加在循环中途失败，它会跳至err_parse并在不调用 v4l2_async_nf_cleanup（） 的情况下返回，从而泄漏已添加到通知程序等待列表中的所有v4l2_async_connection。正下方的 register-failure 路径已正确清理，调用程序仅在 isys_notifier_init（） 返回成功后才会删除通知程序 （isys_notifier_cleanup（））。还清理解析错误路径上的通知程序。（CVE-2026-89886）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - KVM：arm64：通过 vcpu_put（） VNCR 取消映射处理 VNCR TLB 无效争用 VNCR TLB 无效性始终在 MMU 锁定下发生，而 vcpu_put（） 在取消映射 VNCR 页面时不会发生。问题在于，无效在执行取消映射之前会评估 vncr_tlb：：cpu 以决定是否需要进行取消映射 （cpu ！= -1）。另一方面，如果设置了 L1_VNCR_MAPPED，则 this_cpu_reset_vncr_fixmap（） 会无条件取消映射。这两者显然可以争用，TLBI 路径上有一个 TOCTOU 模式，vcpu_put（） 路径上有一个 BUG_ON（）。两者最终可以调用 vncr_fixmap（-1），并产生额外的致命效果。将 vncr_tlb：：cpu 的重置移至 -1 至通用函数，并使此更新成为原子型更新，以便仅有单个线程可以重置该字段并执行相应的取消映射。vcpu_put（） 仍然需要无条件取消当前 VNCR 映射以关闭另一个难看的争用。最后，vncr_tlb：：cpu 的分配被移动为与实际映射保持同步，类似于设置L1_VNCR_MAPPED。
    (CVE-2026-89917)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：rkvdec：hevc：保护INTER_REF_PIC_SET_PRED索引下溢 st_ref_pic_set_prediction（） 根据 HEVC 规范等式 7-59 计算引用 RPS 索引st_rps_idx - （delta_idx_minus1 + 1）。两个操作数都是 u8，因此当 delta_idx_minus1 + 1 超过当前索引时，减法封装，后续的数组访问 calculated_rps_st_sets[ref_rps_idx] 读数远远越界。能够打开 RKVDEC m2m 解码器的用户空间 V4L2 客户端可以提交INTER_REF_PIC_SET_PRED集和构建delta_idx_minus1以触发下溢的 EXT_SPS_ST_RPS 控件。当引用索引可能下溢时及早拒绝条目。（CVE-2026-89882）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Debian Linux - network-manager-iodine - 无 Ubuntu Linux - [network-manager-iodine：选项混淆到达 iodine 的预删除根 shell] （CVE-2026-91837）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/gud：从设备读取的 NUL 终止 TV 模式名称 gud_connector_add_tv_mode（） 从 USB 设备读取固定大小的模式名称缓冲区，并将指针传递到其中的 drm_mode_create_tv_properties_legacy（），后者会在每个模式名称上调用 strlen（）。没有任何内容可以保证设备以空字符结束名称，因此 strlen（） 可以超过插槽的末尾运行，并且在最后一种模式下，可以超过分配的末尾。在使用前终止每个名称的插槽末尾。（CVE-2026-89817）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：typec：qcom-pmic：停止时取消 reset_work pdphy_stop（） 禁用 IRQ 但使reset_work保持待定状态。
    如果 IRQ 处理程序将其计划在 disable_irq（） 之前，则工作会在 remove（） 通过 devm 释放 struct 之后运行。禁用 IRQ 后调用 cancel_work_sync（） 以关闭窗口。此问题由内部静态分析工具发现。（CVE-2026-90026）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - powerpc/kexec_file：修复额外大小计算中的 null-ptr-def 静态 Sashiko AI 审查发现 kexec_extra_fdt_size_ppc64（） 中可能存在空指针取消引用。在没有任何保留内存区域的平台上，get_reserved_memory_ranges（） 可返回 0 而将“rmem”保持为空。
    评估“rmem->nr_ranges”时，传递它直接导致内核错误。添加对“rmem”的空检查以避免此崩溃。（CVE-2026-89963）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iio：light：ltrf216a：修复错误路径中的运行时 PM 引用泄漏 ltrf216a_get_lux（） 通过调用 ltrf216a_set_power_state（data， true） 来获取运行时 PM 引用。但是，如果 ltrf216a_read_data（） 失败，该函数将立即返回，而不会丢弃引用。这会使运行时 PM 使用计数不平衡，从而阻止设备在读取失败后自动暂停。通过在从错误路径返回之前释放运行时 PM 引用来修复此问题。（CVE-2026-89934）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - KVM：SEV：如果 SNP VMSA 的备份 gmem 页面被 zapped 则强制使其无效 为 SNP VM 建立 gmem_invalidate_range（） 调用，并在后备 gmem 页面失效（例如正在PUNCH_HOLE）时使用它强制 vCPU 重新加载/重新检查其客户机提供的 VMSA。使用与 VMX 对 APIC 访问页面相同的核心逻辑来处理无效，因为这两个概念几乎相同：将页面的物理地址推入 vCPU 的控制结构：1. 对无效序列计数器进行快照 2.获取 pfn（在本例中为 guest_memfd） 3.获取读取 4 的mmu_lock。如果需要重试，请重新请求重新加载，否则提交更改。请注意，由于 #4 KVM 的重试逻辑是模糊的，因此必须执行重新请求操作，即可能收到误报。如果已卸下 guest_memfd 页面，则在某一时刻，后续重新加载将无法从 guest_memfd 获取 PFN，而 KVM 将无法KVM_RUN。如果重试是由于误报，则 KVM 将重试直到没有相关的 MMU 通知器事件（并将在外部循环中重试，即将锁定并视需要进行重新分段）。注意 #2！当相关 memslot 被删除或移动时，请注意使 VMSA 无效，因为响应PUNCH_HOLE的无效是基于 memslot 绑定（KVM 不知道在没有绑定的情况下要使哪些 GFN 范围失效）。更重要的是，VMSA 映射需要一个 memslot，即，如果其 memslot 消失，则必须将其无效，无论底层 guest_memfd inode 的状态如何。无法使 vCPU 的control.vmsa_pa（由 pre_sev_run（） 检查）无效，可阻止 KVM 正确释放页面，因为如果 vCPU 正在活动运行（即 VMSA 页面正在使用中），固件将拒绝 RMPUPDATE 以FAIL_INUSE回收页面。这继而导致下次使用时出现 RMP #PF，因为该页面仍将被分配给 SNP VM。SEV-SNP：RMPUPDATE FAILED FOR PFN 78D198，pg_level：1，RET：3 SEV-SNP：PFN 0x78d198，RMP 条目：[0xfff0000000144001 - 0x000000000000000f] CPU：3 UID：0 PID：31345 comm：
    sev_snp_vmsa_pu 受感染：G U O 受感染：[U]=USER，[O]=OOT_MODULE 硬件名称：Google， Inc.
    Arcadia_IT_80/Arcadia_IT_80， BIOS 34.86.0-102 2026 年 1 月 25 日调用跟踪： <TASK> dump_stack_lvl+0x54/0x70 rmpupdate+0x12c/0x140 rmp_make_shared+0x3b/0x60 sev_gmem_invalidate+0xe0/0x170 [kvm_amd] delete_from_page_cache_batch+0x1d8/0x220 truncate_inode_pages_range+0x120/0x3d0 kvm_gmem_fallocate+0x19a/0x270 [KVM] vfs_fallocate+0x1bc/0x1f0 __x64_sys_fallocate+0x48/0x70 do_syscall_64+0x10a/0x480 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP： 0033：0x496c7e </TASK>
    ------------[ cut here ]------------ SEV： 无法更新 PFN 的 RMP 条目 0x78d198 错误 -14 警告：
    arch/x86/kvm/svm/sev.c：5160 at sev_gmem_invalidate+0x126/0x170 [kvm_amd]， CPU#3： sev_snp_vmsa_pu/31345 CPU： 3 UID： 0 PID： 31345 通信： sev_snp_vmsa_pu 受感染： G U O 受感染： [U]=USER， [O]=OOT_MODULE 硬件名称： Google， Inc. Arcadia_IT_80/Arcadia_IT_80， BIOS 34.86.0-102 01/25/2026 RIP：
    0010：sev_gmem_invalidate+0x12b/0x170 [kvm_amd] 调用跟踪： <TASK> delete_from_page_cache_batch+0x1d8/0x220 truncate_inode_pages_range+0x120/0x3d0 kvm_gmem_fallocate+0x19a/0x270 [kvm] vfs_fallocate+0x1bc/0x1f0
    __x64_sys_fallocate+0x48/0x70 do_syscall_64+0x10a/0x480 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP：
    0033：0x496c7e </TASK> irq 事件戳：20689 hardirqs 上次启用时间 （20699）：[<ffffffff8e76092c>]
    __console_unlock+0x5c/0x60 hardirqs 上次禁用时间 （20708）： [<ffffffff8e760911>]
    __console_unlock+0x41/0x60 softirqs 上次启用时间 （20722）： [<ffffffff8e6cd74e>]
    __irq_exit_rcu+0x7e/0x140 softirqs 上次禁用时间 （20717）： [<ffffffff8e6cd74e>]
    __irq_exit_rcu+0x7e/0x140 ---[ 结束跟踪 00000000000000000 ]--- 缺陷：无法处理地址 ffff99 的页面错误 ---truncated--- （CVE-2026-90040）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iio：dac：m62332：修复稳压器引用计数不平衡 m62332_set_value（） 在每次写入非零值时启用 Vcc 稳压器，并在每次写入零时禁用 Vcc 稳压器，而不跟踪通道的当前状态。由于稳压器是引用计数的，因此直接将通道从一个非零值更改为另一个可多次启用，而稍后写入零仅将其禁用一次。引用计数永远不会返回零，并且稳压器会无限期地保持启用状态。仅在从零到非零的转换时启用稳压器，仅在从非零到零的转换时禁用它，使用先前存储的通道值来检测边沿。平衡 I2C 错误路径上的稳压器，以便在写入失败时参考计数保持一致。（CVE-2026-89936）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - LoongArch：KVM：保留 KVM_MR_FLAGS_ONLY kvm_arch_prepare_memory_region（） 上的 memslot arch 标记会计算 new->arch.flags，即 memslot 是KVM_MEM_HUGEPAGE_CAPABLE还是KVM_MEM_HUGEPAGE_INCAPABLE，仅针对 KVM_MR_CREATE 和 KVM_MR_MOVE，并且每隔一次变更就会提早返回。但是通用代码为每个更改分配一个归零的 memslot，并且永远不会复制旧的 >arch，因此在进行KVM_MR_FLAGS_ONLY更新（例如针对实时迁移切换 KVM_MEM_LOG_DIRTY_PAGES）之后，活动 memslot 的 arch.flags == 0。
    清除两个标志后，fault_supports_huge_mapping（） 将仅对 HVA 范围进行对齐检查，从而不再验证 GPA 和 HVA 在 PMD 中是否具有相同的偏移。由于 GPA/HVA 偏移不匹配而标记为 KVM_MEM_HUGEPAGE_INCAPABLE 的内存槽随后可与发生读取错误时的 PMD 条目进行映射，并且由于 kvm_map_page（） 独立对齐 gfn 和 pfn，客户机最终会访问错误的主机页面，完全符合检查上方注释中所述的 d -> f、e -> g 情况。KVM_MR_FLAGS_ONLY从旧的内存插槽中继承 arch 标志，因为在这种情况下，GPA、HVA 和大小保证保持不变。（CVE-2026-89908）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：s2255：读取尾部标记之前检查固件大小 s2255_probe（） 会从固件 blob 的最后 8 个字节读取 4 字节标记和版本（fw->data[fw_size - 8] 和 [fw_size - 4]）。如果固件文件短于 8 个字节，fw_size - 8 次下溢，并且访问读取越界。编制索引前验证固件大小。（CVE-2026-89878）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - rpcrdma：发布通知前rn_done arm rpcrdma_rn_register（） 通过 xa_alloc（） 将@rn插入 rd_xa，然后再将调用程序的回调存储在 rn->rn_done中。xarray 使@rn可访问 rpcrdma_remove_one（），后者遍历rd_xa并为每个注册的通知调用 rn->rn_done（rn）。因此，与新注册争用的设备删除可观察到@rn仍然是 NULL rn_done，因为通知对象是由其所有者分配的零，并通过空函数指针进行调用。
    在 xa_alloc（） 发布@rn之前存储 rn->rn_done。然后 xarray 的存储端和加载端排序保证在 rd_xa 中发现@rn的任何 CPU 也遵守武装回调。rpcrdma_rn_unregister（） 将非 NULL rn_done视为已完成注册的哨兵，因此早期存储不能在失败的注册中幸存下来。当 xa_alloc（） 失败时再次清除rn_done。如果保持设置状态，则 failed-accept 清理路径将在从未插入的@rn上调用 rpcrdma_rn_unregister（），从而擦除不相关的rd_xa槽并下溢rd_kref。（CVE-2026-89798）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dma-direct：从 dma_direct_alloc_from_pool（） 提交返回结构页面 5b138c534fda（dma-direct：分解 dma_direct_alloc_from_pool 帮助程序） 将 dma_direct_alloc_from_pool（） 更改为从 dma_alloc_from_pool（） 返回 CPU 地址。这符合 dma_direct_alloc（），但 dma_direct_alloc_pages（） 也使用帮助程序并期望结构页 *。通过使 dma_direct_alloc_from_pool（） 返回结构页面修复此问题
    *，并通过 dma_direct_alloc（） 调用程序的 out 参数传回 CPU 地址。
    (CVE-2026-89995)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - KVM：x86/mmu：在无锁 rmap walk 中使用锁定的 rmap 值 __kvm_rmap_lock（） 在观察到空 rmap 时故意省略 rmap 锁定。在这种情况下，kvm_rmap_lock_readonly（） 也会重新启用优先权并返回零，所以调用程序既不持有 rmap 锁定，也不保留优先权引用。省略记录了它所依赖的不变量：* 如果 rmap 为空，则省略锁定，因为无锁遍历器（只读 * 模式）不需要（也无法）遍历空 rmap，也无法将 * 条目添加到 rmap。
    即，处理空 rmap * 的唯一路径在保留 mmu_lock 进行写入时执行此操作，并且互斥。kvm_rmap_age_gfn_range（） 会忽略返回值，无条件输入 for_each_rmap_spte_lockless（）。迭代器从 rmap_get_first（） 开始，重新读取 rmap_head->val，而不是使用锁定返回的值。如果写入器在锁的读取和迭代器的重新读取之间填充 rmap，则老化路径会遍历新安装的 rmap，而不保留其锁定。对于KVM_RMAP_MANY rmap，这会使遍历器遵循其从未锁定的pte_list_desc链。保留 mmu_lock 进行写入的写入器可在 walk 进行时通过 kmem_cache_free（） 释放该链（例如回收路径上的 kvm_zap_all_rmap_sptes（） 或任何 rmap zap），从而提供 slab 释放后使用。没有任何内容会对两者进行序列化：当 CONFIG_KVM_MMU_LOCKLESS_AGING=y 时，老化路径运行时无mmu_lock，并且省略了原本会排除写入器的 rmap 锁定。由于空路径重新启用抢占，因此两次读取之间的间隔可以跨越任意调度延迟。通过让无锁遍历消耗锁定返回的值而不是重新读取 rmap，来修复缺陷的类。
    将 rmap_get_first（） 拆分为 __rmap_get_first（），这将从已读取的 rmap 值启动迭代器，并使 for_each_rmap_spte_lockless（） 获取该值并直接调用 __rmap_get_first（）。
    kvm_rmap_age_gfn_range（） 传递 kvm_rmap_lock_readonly（） 返回的值：当锁被消除时，值为零，__rmap_get_first（） 返回 NULL，并且跳过遍历。无锁遍历器不会重新读取 rmap，因此无法违反 lock-elision 不变量，并且不会向老化代码添加 lock（）-without-paired-unlock（） 路径。（CVE-2026-89928）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ASoC：龙芯：修复 ACPI 属性解析中的错误处理 在 loongson_card_parse_acpi（） 中，“codec-dai-name”属性的 device_property_read_string（） 的返回值被忽略。如果属性缺失或无效，之后将使用未初始化的指针，从而可能导致未定义的行为。通过检查返回值并适当地传播错误来修复此问题。（CVE-2026-89943）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：Zero-init bsg 堆栈缓冲区以避免信息泄漏 多个 bsg 处理程序在未初始化的 256 字节堆栈上缓冲区（uint8_t bsg[DMA_POOL_SIZE]）中暂存其请求/回复，并通过 sg_copy_to_buffer（） 填充，其仅复制与用户提供的请求负载一样多的字节数。当请求比结构短时，剩余的缓冲区将保留过时的堆栈数据。
    然后，qla2x00_read_fru_status（） 和 qla2x00_read_i2c（） 通过 sg_copy_from_buffer（） 将完整结构复制回回复负载，从而将未初始化的堆栈字节泄漏到用户空间。写入/更新路径不会将缓冲区复制回来，但可以将未初始化的字段馈送到设备。在所有五个处理程序中，声明时将堆栈缓冲区归零，这与堆 kzalloc（） 方法相呼应，因此短请求不再暴露过时内存。（CVE-2026-89843）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvmet-auth：SQ 拆卸期间同步超时工作 nvmet_auth_sq_free（） 取消含有 cancel_delayed_work（） 的auth_expired_work。如果工作已经开始，取消不会等待回调。
    因此，当 nvmet_auth_expired_work（） 仍访问该 SQ 时，传输拆卸可释放或重用包含 struct nvmet_sq 的队列。添加一个在释放认证状态之前同步耗尽延迟功的拆卸专用帮助程序，并从 nvmet_sq_destroy（） 使用它。保留带内认证状态清理的非同步帮助程序，其中 SQ 所有者保持活动状态。
    (CVE-2026-89970)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - s390/vfio-ap：修复 vfio_ap_mdev_cfg_remove 中的控制域删除 vfio_ap_config_remove 函数使用 bitmap_andnot 函数清除 matrix_mdev->matrix.adm 位图中的位（指定分配给 mdev 的控制域）。这阻止了明确拔出的控制域从 KVM 客户机中删除。改用 bitmap_and 函数。（CVE-2026-89959）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：cec：core：修复因错过 rc_free_device（） 调用而导致的 kmemleak 提交 dccc0c3ddf8f （media：rc：
    修复 unregister 和 urb/irq 回调之间的争用）删除了从 rc_unregister_device（） 中对 rc_free_device（） 的隐式调用。但是，提交未能删除 adap->rc 的空分配，现在可造成从不在分配的 rc 设备上调用 rc_free_device（）。kmemleak 报告在 dw-hdmi 取消绑定等操作后执行以下操作：未引用的对象0xffff00010ac10000（大小 4096）：comm kworker/u16：1，pid 39，jiffies 4294897739 hex 转储（前 32 字节）：20 23 4b 0a 01 00 ff ff 08 00 c1 0a 01 00 ff ff #K.............08 00 C1 0A 01 00 FF FF 00 00 00 00 00 00 00 00 ................回溯 （CRC e11baccc）：
    kmemleak_alloc+0x38/0x44 __kmalloc_cache_noprof+0x4a8/0x5e0 rc_allocate_device+0x48/0x2a0 cec_allocate_adapter+0x3ac/0x800 dw_hdmi_cec_probe+0x264/0x634 platform_probe+0xc0/0x188 really_probe+0x4a4/0x8e0 __driver_probe_device+0x2f8/0x440 driver_probe_device+0x60/0x160
    __device_attach_driver+0x1a0/0x2a0 bus_for_each_drv+0x100/0x1a0 __device_attach+0x174/0x350 device_initial_probe+0x90/0xb0 bus_probe_device+0x4c/0x120 device_add+0xdec/0x116c platform_device_add+0x354/0x598 删除 adap->rc 到 NULL 的赋值，让 cec_delete_adapter（） 在 CEC 设备的最后一个用户退出以修复 kmemleak 后释放分配的 rc 设备。（CVE-2026-89900）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：qcom：iris：断电期间使用 disable_irq（） IRQ 注册为线程 IRQ。在 iris_vpu_power_off（） 中使用 disable_irq_nosync（） 不会等待已排队的线程 IRQ 处理程序完成后返回。因此，线程化 IRQ 处理程序在 VPU 关闭电源后仍可运行，并且在关机后仍可访问硬件寄存器。将 disable_irq_nosync（） 替换为 disable_irq（），以便关机路径等待任何正在传输的线程 IRQ 处理程序完成后再返回。（CVE-2026-89869）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：cec：在释放中断的传输之前禁用延迟工作 cec_transmit_msg_fh（） 终止 adap->lock 以等待 wait_for_completion_killable（） 中的阻断传输。如果该等待被信号中断，则 cancel_delayed_work_sync（） 可在 CEC kthread 通过 cec_transmit_done_ts（） 中的 schedule_delayed_work（&data->work） 预告回复超时之前运行。取消后布防工作，并在delayed_work仍待定的情况下释放数据：ODEBUG：释放活动（活动状态 0） 对象：...
    提示：cec_wait_timeout 使用 disable_delayed_work_sync（）：它取消工作并禁用它，因此后面的 schedule_delayed_work（） 变成 no-op，并且无法重新布防该工作。数据会在释放后立即释放，因此无需重新启用。（CVE-2026-89899）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：在获取 vport 引用后vport_slock报告 ID 采集 qla24xx_report_id_acquisition（） format-1 处理中保留主机映射更新的vport_slock，然后在无锁定的情况下调用 qla_update_host_map（）。这会到达 qla_update_vp_map（），后者通过 btree_insert32（）/btree_update32（）/btree_remove32（） 改变 ha->host_map btree，并且已记录为需要调用方持有 vport_slock。在未锁定的情况下运行它可能会争用并发host_map更新并损坏 btree。同一函数中的 format-2 路径已在 vport_slock 中封装其host_map更新 （SET_AL_PA）;format-1 路径是唯一的异常值。在 format-1 qla_update_host_map（） 调用之间保持vport_slock以遵守记录的锁定合意。在循环中采取的 vref_count 使 vport 保持有效，因此这只会增加缺少的 host_map序列化。（CVE-2026-89844）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：qla2x00_get_firmware_state（） 中的零邮箱结构 mbx_cmd_t被分配在堆栈上但未初始化。qla2x00_mailbox_command（） 具有多个提早返回路径（PCI 永久故障、设备故障、EEH 繁忙、ISP 中止待定、邮箱访问超时、清除 mbox），其返回时不将输入邮箱寄存器写回 mcp->mb[]。然后，无论返回值如何，qla2x00_get_firmware_state（） 都会无条件地将 mcp->mb[1..6]（和 mb[12]）复制到调用方的 states[] 数组中。出现此类失败时，复制的值是未初始化的内核堆栈内存，然后通过 fw_state 和 mpi_fw_state sysfs 处理程序暴露给用户空间。将邮箱结构归零，以便失败的查询产生确定性的归零状态，而不是泄漏堆栈内容。（CVE-2026-89852）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - staging：rtl8723bs：修复 rtw_action_frame_parse（） 中的 OOB 读取 rtw_action_frame_parse（） 采用 frame_len 参数，但在编制索引到框架正文之前从未实际检查该参数：const u8 *frame_body = frame + sizeof（struct ieee80211_hdr_3addr）;...c = frame_body[0];...a = frame_body[1];frame_body 已将 24 字节 （sizeof（struct ieee80211_hdr_3addr）） 指向帧，因此读取 frame_body[0] 和 frame_body[1] 需要 frame_len >= 26。短于该值（例如正好 24 字节，恶意对等机可发送的最小值）的管理操作帧会造成 1-2 字节的越界读取。这可从 ioctl_cfg80211.c 中的 rtw_cfg80211_monitor_if_xmit_entry（） 和 cfg80211_rtw_mgmt_tx（） 访问，两者均会直接传递受攻击者/用户影响的帧缓冲区和长度。在取消引用 frame_body 之前添加缺少的长度检查。（CVE-2026-90017）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ftrace：访问其ftrace_ops前先进行trace_array参考 已更新跟踪实例文件 set_ftrace_filter 和 set_ftrace_notrace 以用于特定跟踪实例 （trace_arrays）。
    问题是，打开这些文件时，会出现一个小型争用窗口，它将使用 inode->private 指针中的ftrace_ops来获取对trace_array的引用，然后进行引用。问题在于 ftrace_ops 本身可能会被释放。如果打开 set_ftrace_filter 文件的同时发生实例上的 rmdir，则 rmdir 也可能已经释放ftrace_ops，引用它将导致释放后使用错误并使内核崩溃。而是将trace_array作为文件私有数据传入（顶级实例为 NULL），然后将trace_array和ftrace_ops同时传递给 ftrace_regex_open（） 函数。如果trace_array为 NULL，则它仅使用该ftrace_ops而不需要获取其引用（像往常一样）。如果ftrace_ops为 NULL，则仅适用于顶级实例，并且可以使用global_ops。这允许trace_array在接触实例时也可以释放的ftrace_ops之前增加其引用。
    (CVE-2026-90002)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvmet-tcp：拒绝未经请求的 H2CData PDU nvmet_tcp_handle_h2c_data_pdu（） 在仅检查 H2CData PDU 的 TTAG 是否为有效的范围内命令索引以及命令的数据缓冲区是否映射后才接受该 PDU。它绝不会检查目标是否通过发送命令的 R2T 实际请求了该数据。远程主机可滥用此漏洞。它提交采用 R2T 路径的写入命令，并在目标传输 R2T 之前，为该命令的标签发送 H2CData PDU。数据提早完成命令，当命令随后同步失败（例如，nvmet_check_transfer_len（） 捕获到长度不匹配）时，第二次完成该命令。每次完成都会调用 nvmet_tcp_queue_response（），因此当它仍然链接时，同一个命令会被添加到 queue->resp_list 两次;第二个 llist_add（） 使节点指向自身 （lentry->next == lentry）。
    然后，nvmet_tcp_process_resp_list（） 遍历该自引用节点，并将命令添加到 resp_send_list 两次。CONFIG_DEBUG_LIST这会触发 list_add 双重添加检查（内核缺陷）;没有它，循环永远不会终止，nvmet_tcp工作队列插入（软锁定）。此漏洞可远程触发，无需在allow_any_host子系统上进行认证。跟踪是否已为命令传输 R2T，并拒绝在其之前到达的 H2CData PDU。命令重用时会清除此标志（nvmet_tcp_get_cmd（） 将 cmd->flags 归零），并保持在单一请求传输的多个 H2CData PDU 中设置。
    (CVE-2026-89968)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：saa7164：修复资源分配失败时的清理 saa7164_dev_setup（） 在请求 PCI BAR 内存区域之前，先将设备添加到全局saa7164_devlist。如果 get_resources（） 失败，saa7164_dev_setup（） 将减少设备计数并返回错误，但使设备处于saa7164_devlist状态。然后，探测错误路径将释放设备，在全局列表中留下一个悬摆条目。
    重复使用现有 MMIO 映射错误路径，从saa7164_devlist中移除设备，并在返回之前减少设备计数。如果成功请求了 BAR0 但 BAR2 请求失败，也会将其释放。（CVE-2026-89877）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mtd：afs：验证 v2 图像信息边界 AFS v2 解析器使用 footer[8] 在当前擦除块内定位图像信息块，然后使用图像信息region_count从固定本地数组遍历条目。页脚偏移和区域计数来自 flash 内容，使用前未针对擦除块或本地图像信息数组进行检查。拒绝其图像信息偏移会下溢擦除区块计算的 v2 条目，并拒绝遍历区域条目之前不适合本地 image-info 数组的区域计数。（CVE-2026-89954）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：video-i2c：修复失败时留在 kthread_vid_cap 中的 kthread 错误指针 kthread_run（） 在失败时返回ERR_PTR而非 NULL。当 start_streaming（） 失败时，data->kthread_vid_cap 保留此错误指针，而非将其清除。这会导致两个后续缺陷：1. 未来对 start_streaming（） 的调用看到非空kthread_vid_cap并立即返回 0（成功），而无需实际启动捕获线程。2. 对 stop_streaming（） 的调用会检查“kthread_vid_cap == NULL”，即为错误指针为假，然后继续在错误指针上调用 kthread_stop（），从而导致内核崩溃。
    通过在失败时将 kthread_vid_cap 重置为空，然后再跳转到错误路径，以修复此问题。
    (CVE-2026-89871)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：sony：在探测失败时清理设备列表 sony_input_configured（） 会在 HID 核心注册其输入设备之前将一些控制器添加到 sony_device_list。input_register_device（） 可在回调成功返回后失败。然后，sony_probe（） 观察到HID_CLAIMED_INPUT清除并展开，但仅停止 HID 硬件。devres 管理的sony_sc会在其列表节点保持链接状态时释放，因此下一个匹配控制器会遍历已释放的内存。将列表节点和设备 ID 初始化为不活动状态。使列表删除幂等，并在每个探测失败路径上运行 driver-private 清理。如果 sony_input_configured（） 在 sony_probe（） 处理缺失的输入声明之前已展开部分初始化，这也会使第二次清拆安全。通过 0sec （https://0sec.ai） 使用自动源分析发现;根据 HID 输入注册和探测展开路径进行验证。（CVE-2026-90041）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - arm64：禁用 MTE 时不读取GMID_EL1 __cpuinfo_store_cpu（） 保护原始ID_AA64PFR1_EL1上的 GMID_EL1 读取，因此即使内核已禁用 MTE（CONFIG_ARM64_MTE=n 或 arm64.nomte），它也会读取寄存器。KVM 设置HCR_EL2。TID5 该情况下，并且 pKVM 注入了主机无法处理的 UNDEF：
    内部错误：错误 - 未定义的指令：0000000002000000 [#1] SMP pc：
    __cpuinfo_store_cpu+0xf4/0x264 内核恐慌 - 不同步：尝试终止空闲任务！只有 pKVM 才能到达它，并且只有在 CPU 脱机并恢复在线之后：其CPU_ON中继在 CPU 进入 EL1 之前设置主机 HCR，而普通 nVHE 将其设为 CPUHP_AP_KVM_ONLINE。在应用命令行覆盖的情况下，在 CPU 自己的ID_AA64PFR1_EL1上以及CONFIG_ARM64_MTE上（寄存器无法反映）上设置读取门控。引导 CPU 在 init_cpu_features（） 剥离不安全的替代之前存储其寄存器，因此此处也限制硬件值。（CVE-2026-89981）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：I2C bsg 处理程序中的绑定 i2c->length struct qla_i2c_access带有一个 16 位长度字段以及一个固定的 64 字节缓冲区： struct qla_i2c_access { uint16_t device， offset， option， length; uint8_t buffer[0x40]; } __packed;qla2x00_write_i2c（） 和 qla2x00_read_i2c（） 使用用户提供的 i2c->length，无任何边界检查。i2c 覆盖在 256 字节的堆栈上缓冲区上，而 sfp 是 256 字节的 DMA 池缓冲区，因此长达 65535 的长度会溢出两者： - 写入：memcpy（sfp， i2c->buffer， i2c>length） 越界读取堆栈并覆盖 sfp 堆缓冲区，然后 qla2x00_write_sfp（） 会从 256 字节缓冲区中 DMA i2c->length 字节。- read：qla2x00_read_sfp（） DMA i2c->length 字节写入 256 字节 sfp，然后 memcpy（i2c->buffer， sfp， i2c->length） 使堆栈上数组内的 64 字节缓冲区溢出。持有 CAP_SYS_RAWIO 的调用程序可利用此问题损坏堆和内核堆栈。拒绝长度超过缓冲区的请求，然后在两个处理程序中进行任何复制或 DMA 传输。（CVE-2026-89864）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：edif：修复 RX 中的空指针取消引用 SA 删除检查 qla_chk_edif_rx_sa_delete_pending（） 通过 GET_CMD_SP（sp） 获取 SCSI 命令并立即取消引用 cmd->sc_data_direction。该命令指针可以为 NULL：固件可能会发布已返回或中止命令的状态完成。调用程序 qla2x00_status_entry（） 在完全相同的状态路径中确认此问题，从而重新提取 GET_CMD_SP（sp） 并使用已返回的 Command 消息（如果为 NULL）退出 -- 但该检查仅在 qla_chk_edif_rx_sa_delete_pending（） 已取消引用指针之后才运行，因此 NULL cmd 会在中断上下文中造成内核崩溃。cmd 为 NULL 时，在接触 cmd->sc_data_direction 之前提早返回。（CVE-2026-89863）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：避免 qla2x00_error_entry（） 中的req_q_map双重读取 qla2x00_error_entry（） 读取 ha->req_q_map[que] 两次：这两次用于 NULL 检查，另一次是在将其分配给 req 时。在队列拆卸期间，qla25xx_free_req_que（） 通过 （） 清除映射槽 （ha->req_q_map[que_id] = NULL under mq_lock），而驱动 qla2x00_error_entry（） 的响应队列中断仍处于注册状态（IRQ 稍后在 qla25xx_free_rsp_que（） 中发布）。如果槽在两次读取之间设置为 NULL，则 req 变为 NULL 并取消引用。将插槽读入 req 一次，并在使用前对本地进行空检查。mq_lock 是互斥体，不能从中断上下文获取，因此单一读取加本地检查是针对报告的空取消引用的适当补丁。（CVE-2026-89845）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - powerpc/mm：修复复合 vmemmap 填充中错误的 addr_pfn 跟踪 vmemmap_populate_compound_pages（） 使用addr_pfn确定复合页内的 PFN 偏移，并确定当前 vmemmap 插槽应填充为头页映射还是应重复使用尾页映射。但是，addr_pfn 会与地址并行手动推进。循环本身在 vmemmap 地址空间中进行，因此 addr 中的每个PAGE_SIZE步骤都涵盖 PAGE_SIZE / sizeof（struct page） struct 页面槽。由于addr_pfn与数据 PFN 单位的nr_pages进行比较，因此它应该前进相同数量的 PFN。现有的手动增量与此不匹配，因此无法可靠地跟踪与当前地址对应的 PFN。因此，可从错误的 PFN 计算pfn_offset，并且代码可针对错误的复合页位置做出头/尾决策。通过直接从当前 vmemmap 地址派生addr_pfn而非将其作为循环状态携带，来修复此问题。（CVE-2026-89961）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - LoongArch：BPF：重构末尾调用中的跳跃偏移计算 旧的基于宏的jmp_offset计算从过时的预先传递代码步幅派生跳跃距离，这在额外 JIT 传递下可导致错误的分支偏移和软锁定。通过直接在绝对目标上计算偏移量来修复此问题：
    ctx->offset[insn + 1] - ctx->idx。为避免在大小估计期间错误的 16 位范围检查中止，请添加 ctx->image == NULL 防护以注入安全的虚拟偏移。（CVE-2026-89906）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
346581	Linux Distros 未修补的漏洞：CVE-2026-89834	medium
346580	Linux Distros 未修补的漏洞：CVE-2026-90036	critical
346579	Linux Distros 未修补的漏洞：CVE-2026-89971	high
346578	Linux Distros 未修补的漏洞：CVE-2026-89888	high
346577	Linux Distros 未修补的漏洞：CVE-2026-89980	high
346576	Linux Distros 未修补的漏洞：CVE-2026-89914	critical
346575	Linux Distros 未修补的漏洞：CVE-2026-89965	high
346574	Linux Distros 未修补的漏洞：CVE-2026-89849	high
346573	Linux Distros 未修补的漏洞：CVE-2026-90000	high
346572	Linux Distros 未修补的漏洞：CVE-2026-89903	high
346571	Linux Distros 未修补的漏洞：CVE-2026-89838	high
346570	Linux Distros 未修补的漏洞：CVE-2026-89892	high
346569	Linux Distros 未修补的漏洞：CVE-2026-89897	high
346568	Linux Distros 未修补的漏洞：CVE-2026-89886	medium
346567	Linux Distros 未修补的漏洞：CVE-2026-89917	medium
346566	Linux Distros 未修补的漏洞：CVE-2026-89882	high
346565	Linux Distros 未修补的漏洞：CVE-2026-91837	critical
346564	Linux Distros 未修补的漏洞：CVE-2026-89817	high
346563	Linux Distros 未修补的漏洞：CVE-2026-90026	high
346562	Linux Distros 未修补的漏洞：CVE-2026-89963	medium
346561	Linux Distros 未修补的漏洞：CVE-2026-89934	medium
346560	Linux Distros 未修补的漏洞：CVE-2026-90040	medium
346559	Linux Distros 未修补的漏洞：CVE-2026-89936	high
346558	Linux Distros 未修补的漏洞：CVE-2026-89908	high
346557	Linux Distros 未修补的漏洞：CVE-2026-89878	high
346556	Linux Distros 未修补的漏洞：CVE-2026-89798	medium
346555	Linux Distros 未修补的漏洞：CVE-2026-89995	high
346554	Linux Distros 未修补的漏洞：CVE-2026-89928	high
346553	Linux Distros 未修补的漏洞：CVE-2026-89943	high
346552	Linux Distros 未修补的漏洞：CVE-2026-89843	high
346551	Linux Distros 未修补的漏洞：CVE-2026-89970	critical
346550	Linux Distros 未修补的漏洞：CVE-2026-89959	high
346549	Linux Distros 未修补的漏洞：CVE-2026-89900	medium
346548	Linux Distros 未修补的漏洞：CVE-2026-89869	high
346547	Linux Distros 未修补的漏洞：CVE-2026-89899	high
346546	Linux Distros 未修补的漏洞：CVE-2026-89844	high
346545	Linux Distros 未修补的漏洞：CVE-2026-89852	medium
346544	Linux Distros 未修补的漏洞：CVE-2026-90017	high
346543	Linux Distros 未修补的漏洞：CVE-2026-90002	high
346542	Linux Distros 未修补的漏洞：CVE-2026-89968	high
346541	Linux Distros 未修补的漏洞：CVE-2026-89877	high
346540	Linux Distros 未修补的漏洞：CVE-2026-89954	high
346539	Linux Distros 未修补的漏洞：CVE-2026-89871	medium
346538	Linux Distros 未修补的漏洞：CVE-2026-90041	high
346537	Linux Distros 未修补的漏洞：CVE-2026-89981	medium
346536	Linux Distros 未修补的漏洞：CVE-2026-89864	high
346535	Linux Distros 未修补的漏洞：CVE-2026-89863	high
346534	Linux Distros 未修补的漏洞：CVE-2026-89845	medium
346533	Linux Distros 未修补的漏洞：CVE-2026-89961	high
346532	Linux Distros 未修补的漏洞：CVE-2026-89906	high

检测

Nessus 的 Misc. 系列

medium

critical

high

high

high

critical

high

high

high

high

high

high

high

medium

medium

high

critical

high

high

medium

medium

medium

high

high

high

medium

high

high

high

high

critical

high

medium

high

high

high

medium

high

high

high

high

high

medium

high

medium

high

high

medium

high

high