Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Freeciv 版本 3.1.0 通过 3.2.5 处理包含无效单位活动指数的游戏保存文件时，sg_load_player_unit（） 中包含越界读取漏洞。攻击者可通过超出范围的活动索引构建恶意游戏保存文件，从而绕过边界检查并在加载时造成崩溃或有限堆内存暴露。（CVE-2026-90557）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当标头值超过 255 字节缓冲区限制时，sngrep 在 1.8.4 SIP 属性格式化例程中包含堆栈缓冲区溢出漏洞。攻击者可能会使用超大的 Call-ID、X-Call-ID 或其他标头字段构建恶意 SIP 数据包，以便在数据包解析和渲染期间使堆栈缓冲区溢出并造成崩溃或执行任意代码。（CVE-2026-90558）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - qede：修复 TPA 片段处理中的空指针取消引用 在内存压力之下，qede 驱动程序在处理 TPA 连续片段时会遇到空指针取消引用。提交 8a8633978b84（qede：添加 build_skb（） 支持。） 意外丢弃 qede_tpa_start（） 中的 tpa_info->buffer.data 的分配。当内存压力导致 qede_tpa_start（） 中的 SKB 分配失败时，驱动程序将设置 tpa_start_fail = true，并尝试稍后在 qede_tpa_end（） 中通过 qede_reuse_page（） 回收物理页。但是，由于 buffer.data 保留了未初始化状态 （NULL），因此 qede_reuse_page（） 将幽灵 BD（有效的 DMA 映射但为空数据指针）推送回活动的 Rx 环。硬件下次使用此环槽时，会将空页传递到 qede_fill_frag_skb（），从而导致内核错误。
    生产系统的崩溃示例：缺陷：无法处理 RIP 时的内核空指针取消引用0x8：
    qede_fill_frag_skb+0x96/0x430 [qede] 调用跟踪：qede_rx_int+0xb06/0x1de0 qede_poll+0x2f4/0x6c0
    __napi_poll+0x2d/0x130 通过恢复 qede_tpa_start（） 中的 tpa_info->buffer.data 分配修复根本原因，确保正确跟踪和回收有效页面。此外，更新 struct qede_agg_info：：buffer 的过时注释以反映其当前使用情况。（CVE-2026-89511）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - landlock：白白创建需要LANDLOCK_ACCESS_FS_MAKE_REG OverlayFS 的上层使用 Whiteout 对象，来指示统一视图中不存在此名称的文件，即使该文件存在于较低层文件系统之一亦然。对于 OverlayFS （fuse-overlayfs） 的用户空间实现，也可以从用户空间创建 whiteout 对象：* mknod（2） 带 S_IFCHR 和 makedev（0， 0） * renameat2（2） 带 RENAME_WHITEOUT，在移动文件的旧位置创建白茫茫。此提交可使用 LANDLOCK_ACCESS_FS_MAKE_REG保护上述两种情况下的白出创建。
    whiteout 对象 *不* 被视为字符设备，且未绑定至驱动程序。
    LANDLOCK_ACCESS_FS_MAKE_REG 描述了与 whiteout 对象相同的权限类：创建一个是 VFS 免除CAP_MKNOD的唯一S_IFCHR创建，因此它与创建常规文件一样无权限，而 LANDLOCK_ACCESS_FS_MAKE_CHAR 和 LANDLOCK_ACCESS_FS_MAKE_BLOCK 仍然意味着创建暴露内核接口的设备 [1]。对于 mknod（2） 情况，引入 Landlock 勘误表。以前使用 LANDLOCK_ACCESS_FS_MAKE_CHAR 保护通过 mknod（2） 创建 whiteout 对象，现在使用 LANDLOCK_ACCESS_FS_MAKE_REG 保护。对于 renameat2（2） 情况，修复一个缺陷：在此提交之前，包含RENAME_WHITEOUT的 renameat2（2） 将创建一个目录条目，即使所有 LANDLOCK_ACCESS_FS_MAKE_* 权限都被拒绝也是如此。这不影响分层 OverlayFS 挂载内的正常重命名：在挂载的 fuse-overlayfs 上执行常规 rename（） 时，采用RENAME_WHITEOUT执行 renameat2（） 的是 fuse-overlayfs 后台程序，并且仅检查该后台程序的 Landlock 域。
    取决于：49c9e09d9610（landlock：修复对断开连接的目录的处理） depends-on：fe72ce6710cb（landlock：添加勘误表文档部分）[mic：记录 LANDLOCK_ACCESS_FS_MAKE_REG 为匹配权限的原因，并将 link（2） 添加到用户文档] （CVE-2026-89560）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：在 init_nfsd（） 中的 nfsd4_init_slabs（） 之后移动 nfsd_debugfs_init（） nfsd_debugfs_init（） 在 init_nfsd（） 中的 nfsd4_init_slabs（） 之前运行）。如果 slab 分配失败，裸返回 retval 会绕过 nfsd_debugfs_exit（），将带有过时 fops 指针的孤立 debugfs 文件留在已释放的模块文本中。
    将 nfsd_debugfs_init（） 移至 slab init 成功之后，以便早期返回没有要清理的 debugfs 状态。由于 debugfs 现在是两者中较晚初始化的一个，因此也更新展开路径以匹配反向初始化 （LIFO） 顺序：在 init_nfsd（） 错误路径和 exit_nfsd（） 中，先运行 nfsd_debugfs_exit（），然后再运行 nfsd4_free_slabs（）。nfsd debugfs 文件仅引用 module-global 状态，不依赖于 slab 缓存，因此重新排序是一种清理，没有功能变更。
    (CVE-2026-89668)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - audit：避免终止 fsnotify 规则上的实时树状结构 ref autoremove audit_del_rule（） 可用于 netlink 删除模板和内部 fsnotify autoremove。前者传递一个拥有临时树引用的解析模板;后者会自行传递已安装的条目。audit_del_rule（） 末尾的无条件 audit_put_tree（） 假设为模板情况。对于混合AUDIT_DIR加AUDIT_EXE规则，fsnotify autoremove 事件因此会终止已安装规则的实时树引用。在共享同一树的规则中重复此步骤，可在另一项规则仍引用树时释放该树，而比较规则时，稍后的自动删除会取消引用释放的路径名。将临时树放置到拥有删除模板的调用程序 audit_rule_change（）。将其保留在 AUDIT_DEL_RULE 清理中，这样成功删除和 -ENOENT 仍会释放解析器拥有的树。[PM：出于行长度原因丢弃了不必要的注释]（CVE-2026-89643）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SUNRPC：svcauth_gss：强制执行 krb5 标记最小长度 svcauth_gss_unwrap_priv（） 在将缓冲区传递给 gss_unwrap（） 之前仅验证有线提供的不透明长度的上限：if （len > xdr_stream_remaining（xdr）） 转至 unwrap_failed;偏移量 = xdr_stream_pos（XDR）;...maj_stat = gss_unwrap（ctx， offset， offset + len， buf）;线路值“len”作为上限未更改流入 krb5 展开路径，因此 [0， 16] 中的 len 通过此检查并传递给 gss_unwrap（）。对于位于 gss_krb5_unwrap_v2（） 的 krb5 v2 上下文，其会读取位于 ptr+4 和 ptr+6 的 16 字节 RFC 4121 标记标头字段，然后在任何完整性检查前调用 rotate_left（）。若使用子标头长度，则标头读取会经过标记，且当已截断的标记将 buf->len 驱动到零时，_rotate_left（） 的“shift %= buf->len”路径可除以零。仅限标头的标记 （len == 16） 同样无效：rotate_left（） 在非零 RRC 字段和以 XDR 缓冲区边界结尾的不透明 blob 构建零长度的子缓冲区，达到相同的分部。在服务器入口点的标记到达 krb5 解包核心之前拒绝标记。一个有效的密封 RFC 4121 标记必须包含 16 字节标头和至少一些加密负载。通过在现有上界检查之后立即添加最小长度检查来修复：
    if （len <= GSS_KRB5_TOK_HDR_LEN） 转至 unwrap_failed;（CVE-2026-89550）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cxl/ras：修复 cxl_rch_get_aer_info（） 越界 AER 寄存器读取 cxl_rch_get_aer_info（） 使用 sizeof（struct aer_capability_regs） 限制的 readl（） 循环，从 RCRB MMIO 区块复制 RCH 下游端口 AER 功能。此结构体是一种软件布局，其嵌入式结构pcie_tlp_log大于在线 AER 功能。因此，循环读取会经过映射的 AER 寄存器块。越界读取还会填充仅限软件的末尾字段，包括 header_log.header_len。传送到 pcie_print_tlp_log（） 的超出范围header_len随后可循环经过标头日志缓冲区，并造成第二次越界读取。引入时读取正确，但此后结构pcie_tlp_log有所增长（标头日志和 TLP 前缀日志大小、header_len 和 flit 字段），因此 sizeof（struct aer_capability_regs） 不再匹配物理 AER 功能。将读取绑定到物理 AER 寄存器，通过 16 字节标头日志标头。首先将目标归零，以便仅软件字段具有确定性。（CVE-2026-89731）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/ucma：直接从 write（） 路径锁定 ucma_set_ib_path（） ucma_set_ib_path（） 调用 ucma_event_handler（） 中的处理程序，而不使用 uevent 排队时保持 ctx->file 稳定的处理程序锁定。处理程序会针对每次取消引用重新读取 ctx->file：mutex_lock（&ctx->file->mut）;/* 文件 */ list_add_tail（&uevent->list， &ctx->file->event_list）;/* 文件 B */ mutex_unlock（&ctx->file->mut）;/* 文件 B */ wake_up_interruptible（&ctx->file->poll_wait）;/* 文件 B */ 当 SET_OPTION 调用程序在 mutex_lock（） 中休眠时，并发 ucma_migrate_id（） 会重新分配 ctx->file，因此 list_add_tail（） 在仅保留文件 A 的互斥体时落在文件 B 的event_list上，从而争用该列表的所有其他用户： 缺陷： KASAN：__list_add_valid_or_report+0x1aa/0x1c0 中的释放后使用 任务 poc_corr/486 在地址 ffff888153c6a418 处读取的大小为 8 调用跟踪： __list_add_valid_or_report+0x1aa/0x1c0 ucma_event_handler+0x1be/0xc00 ucma_set_ib_path+0x45e/0x710 ucma_set_option+0x32e/0x590 ucma_write+0x1f9/0x330 按任务 505 分配：
    ucma_write_cm_event+0x1a1/0x660 由任务 505 释放： kfree+0x1da/0x4c0 ucma_get_event+0x5d5/0x7e0 释放的对象是另一个线程从文件 B 的互斥体下的文件 B 列表出列的ucma_event。文件 A 的静音被保留在其上，使其下一个写入器处于不间断的睡眠状态。此路径需要绑定且地址解析的cm_id，因此需要存在 RDMA 设备。采用调用的处理程序锁定。(CVE-2026-89508)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：异步 COPY 回写失败时重置写入验证程序 异步 COPY 在请求时捕获 nn->writeverf，并在工作线程 kthread 完成后通过 CB_OFFLOAD 将其报告给客户端。当 _nfsd_copy_file_range（） 中的 post-copy vfs_fsync_range（） 或 filemap_check_wb_err（） 报告错误时，工作线程会正确地保持NFSD4_COPY_F_COMMITTED清除，以便 CB_OFFLOAD 将wr_stable_how编码为 NFS_UNSTABLE，但服务器的写入验证程序不会旋转。在 CB_OFFLOAD 中接收NFS_UNSTABLE的客户端随后执行 COMMIT 以使复制的数据持久。在校验器不变的情况下，COMMIT 返回客户端刚刚通过CB_OFFLOAD收到的相同值，客户端会断定副本是持久的，从而静默终止其回写实际上失败的数据。这违反了 UNSTABLE+COMMIT 持久性合同（RFC 7862 部分 15.1、RFC 8881 部分 18.32），并且与刚才在 nfsd_vfs_write（） 和 nfsd_commit（） 中修复的缺陷匹配。在回写失败站点旋转 nn->writeverf。异步 COPY 工作线程没有svc_rqst，因此此处不提供 commit_reset_write_verifier（）;调用 nfsd_reset_write_verifier（） 会直接镜像 nfsd_file_check_write_error（） 已出于相同目的使用的无踪迹重置。过滤掉匹配 commit_reset_write_verifier（） 的 -EAGAIN 和 -ESTALE，因为两者均不表示持久存储故障。（CVE-2026-89706）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：thunderbolt：释放不匹配时分发的 Rx HopID tb_xdomain_alloc_in_hopid（） 会将所需的 HopID 传递到作为下界的 ida_alloc_range（），因此获取的 ID 在那里不是错误：分配器返回其上方的下一个空闲 ID。tbnet_connected_work（） 要求对等机的传输路径，将任何其他 id 视为失败，然后返回而不释放它所获得的内容，因此该分配在 XDomain 连接的其余部分中保持活动状态，没有留下任何保留对其引用的内容。当它不是我们要求的 id 时，请释放该 id，就像函数末尾的错误展开释放预期的 id 一样。（CVE-2026-80990）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：vicodec：修复 FWHT 编码器中的越界写入 vidioc_s_fmt_vid_out（） 根据压缩描述符pixfmt_fwht（）调整编码器 CAPTURE 缓冲区的大小，其sizeimage_mult为 3：coded_w * coded_h * 3 + sizeof（struct fwht_cframe_hdr）。fwht_encode_frame（） 对每个组件一个平面进行编码，不可压缩平面采用 encode_plane（） 中的FWHT_FRAME_UNENCODED路径，逐字复制平面。对于 4 分量像素格式，所有四个平面都是全分辨率 （width_div == height_div == 1），因此强制每个平面通过未编码回退的帧会写入 sizeof（struct fwht_cframe_hdr） + 4 * coded_w * coded_h 字节，使平面溢出 coded_w * coded_h，这可导致相邻内核堆内存损坏。将 pixfmt_fwht.sizeimage_mult 从 3 升级到 4，以匹配受支持的原始格式中最大的components_num，因此捕获缓冲区始终足够大，用于未编码的回退。
    (CVE-2026-89724)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：通过将处置状态内联到 nfsd_net nfsd_file_dispose_list_delayed（） 中来修复 fcache_disposal UAF，通过 per-net freeme 队列将 fput（） 延迟给 nfsd 服务线程，从而防止 shrinker 和 GC 工作线程承担关闭文件的成本（请参阅 ffb402596147）。但是，队列位于单独分配的 struct nfsd_fcache_disposal中，该 struct 在 per-net 拆卸期间由 nfsd_free_fcache_disposal_net（） 释放。全局 shrinker、laundrette 和 fsnotify 回调仍可在取消引用该指针的 nfsd_file_dispose_list_delayed（） 内部，从而导致释放后使用。将旋转锁和 freeme 列表直接内联到 struct nfsd_net（作为 fcache_dispose_lock 和 fcache_dispose_list），完全消除单独分配的 struct nfsd_fcache_disposal。这些字段现在与网络命名空间本身具有相同的生命周期，因此不需要追逐悬摆指针。
    nfsd_file_cache_start_net（） 现在仅初始化内联字段，不会因分配而失败。
    nfsd_file_cache_shutdown_net（） 直接耗尽内联列表，而不是释放单独的 struct。删除了 alloc/free 辅助函数。（CVE-2026-89682）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - block：在提取期间验证用户空间向量基于 bio 的驱动程序不一定检查对齐拆分，并且堆叠块驱动程序并不总是处理提交 bio 后检测到的未对齐。根据设备的dma_alignment验证用户向量，因为 bio 是从 iov_iter 构建的，并在 -EINVAL 之前拒绝未对齐。（CVE-2026-89584）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvme-tcp：修复 R2T 上针对读取命令的主机内存泄露 nvme_tcp_handle_r2t（） 不会检查 R2T 引用的请求方向。恶意控制器可发送 R2T 进行 READ，主机将应答：nvme_tcp_setup_h2c_data_pdu（） 构建 H2CData 标头，nvme_tcp_try_send_data（） 发送请求的数据缓冲区。该缓冲区是读取目标，因此其内容会传送到控制器。然后，该命令会正常完成，并且不会记录任何内容。对于使用 R2T 应答每个读取的测试控制器，4096 字节缓冲读取返回所有 4096 字节，拆分为两个 R2T。这些页面包含过时的内核数据，包括结构页面指针数组。拒绝非写入请求的 R2T。（CVE-2026-89481）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：dwc3：gadget：修复争用条件造成的 dwc3_gadget_free_endpoints 中的释放后使用 在 dwc3_gadget_init_endpoint 中，&dep->nostream_work 与 dwc3_nostream_work 绑定，dwc3_gadget_endpoint_stream_event可在收到 DEPEVT_STREAM_NOSTREAM 事件时将此延迟工作排入 system_percpu_wq 队列。如果删除该小工具，dwc3_gadget_free_endpoints 进行清理，并且 kfree（dep） 释放为使用 kzalloc（） 的 dep 分配的内存，而上述延迟的工作可能仍处于待定或运行状态。可能导致 UAF 错误的操作顺序如下：CPU0 CPU1 |dwc3_thread_interrupt |dwc3_endpoint_interrupt |dwc3_gadget_endpoint_stream_event |queue_delayed_work（system_percpu_wq， | &dep->nostream_work） dwc3_gadget_free_endpoints |dwc3_free_trb_pool（dep） |list_del（&dep->endpoint.ep_list） |dwc3_debugfs_remove_endpoint_dir（dep） |kfree（dep） |dep 已释放 | |dwc3_nostream_work |使用 dep（释放后使用）通过取消 dwc3_gadget_free_endpoints 中 kfree（dep） 之前的延迟工作来修复此问题。
    (CVE-2026-89739)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：l2tp：不传播多播通知错误 隧道创建、隧道修改、会话创建和会话修改 netlink 处理程序通过帮助程序发送多播通知，这些通知在分配或编码消息时，或者在多播消息时可能失败。对于隧道和会话创建/修改，实时操作完成后会发送通知。因此，返回尽力通知错误作为命令结果可能会对已提交的操作报告失败，并可能导致调用方重试并累积活动对象。继续发送通知以提高侦听器可见性，但不要将其尽力状态传播为命令结果。这也会使 tunnel modify 命令与其他仅通知路径保持一致。（CVE-2026-80996）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：在 FOREIGN PUTFH 之后阻断非 SAVEFH 操作以防止空取消引用 启用CONFIG_NFSD_V4_2_INTER_SSC时，如果 fh_verify（） 返回 nfserr_stale 且 putfh->no_verify 为 true，则 nfsd4_putfh（） 可通过 fh_dentry 返回成功并同时fh_export NULL。NFSD4_FH_FOREIGN 标记已设置，但复合调度循环仅使用此标记绕过nfserr_nofilehandle检查，无法阻止后续操作以空fh_dentry运行。远程客户端可利用此漏洞，方法是构建包含 SSC 间 COPY（造成 check_if_stalefh_allowed（） 在保存的 PUTFH 上设置 no_verify=true），并在源 PUTFH 与 SAVEFFH 之间插入一个额外 op。例如，SETATTR 调用 fh_want_write（），后者取消引用 fh_export->ex_path.mnt 而不事先调用 fh_verify（），从而导致 nfsd kthread 中出现空指针取消引用。通过网关调度循环修复此问题：当 NFSD4_FH_FOREIGN 已设置且 fh_dentry 为 NULL 时，只能进行 OP_SAVEFH（SSC 间流需要）和具有 ALLOWED_WITHOUT_FH 的 ops（不需要解析的文件句柄）。根据 RFC 7862 部分，所有其他操作都会收到nfserr_stale，该部分 15.2.3 指定外部文件句柄验证将延迟到消耗操作，NFS4ERR_STALE在该点返回。（CVE-2026-89696）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - entry：通过 TSYNC 修复 ptrace 后的 seccomp 绕过 Sashiko 审查指出了以下问题。如果一个线程在 ptrace 的 syscall_trace_enter（） 中停止，另一个线程可以通过SECCOMP_FILTER_FLAG_TSYNC安装 seccomp 过滤器（例如，通过 seccomp_attach_filter（））。这将成功在已停止的线程上设置SYSCALL_WORK_SECCOMP，但 syscall_trace_enter（） 会评估在输入时采样的缓存“work”变量。因此，后续的SYSCALL_WORK_SECCOMP检查会错过新分配的标记，并且静默绕过过滤器。此争用条件可允许非特权进程执行新安装的过滤器本应阻止的禁止的系统调用（例如 execve），特别是因为跟踪程序可能在 ptrace 停止期间修改了系统调用编号。通过在 ptrace 处理后重新读取 syscall_work 标记修复此问题，以便在后续的 seccomp 检查之前观察到另一个线程在 ptrace 停止期间通过 TSYNC 设置的任何新 SYSCALL_WORK_SECCOMP 标记。
    (CVE-2026-89603)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipmi：msghandler：发生错误时干净地取消工作 如果在 IPMI 接口启动过程中发生错误，则可能已计划要运行工作。需要先取消工作，然后才能释放接口。
    (CVE-2026-81004)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - zram：修复 read_block_state（） 中的越界访问 read_block_state（） 在进行dev_lock前计算nr_pages。如果在锁定获取之前重置设备并使用较小的磁盘大小重新初始化设备，nr_pages仍然描述旧表。然后，后续循环可以调用 slot_lock（） 超过新分配的表的末尾。获取dev_lock并检查设备是否已初始化之后读取磁盘大小。
    然后，读取锁定会在扫描期间保持表及其绑定的稳定。CVE-2026-89719

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ceph：修复卸载时回写中止时泄漏的 inode 引用 ceph_dirty_folio（） 在每个新脏的 folio 上获取 wrbuffer 声明：它会升级i_wrbuffer_ref（在 0->1 转换中采用 ihold（））并将snap_context附加到 folio->private。该声明仅由 ceph_put_wrbuffer_cap_refs（） 释放，其用于提交的写入，从 writepages_finish（） 运行。在 ceph_submit_write（） 中，如果 ceph_inc_osd_stopping_blocker（） 失败（在卸载期间发生），请求在提交前中止：已收集的作品集只会被重新污染并解锁，因此 writepages_finish（） 从不运行并且声明会泄漏。redirty_page_for_writepage（） -> folio_redirty_for_writepage（） -> filemap_dirty_folio（） 会直接设置 PG_dirty 且不经过 ->dirty_folio，因此不会重新输入 ceph_dirty_folio（） 来重新平衡。由于每个后续回写也会使osd_stopping_blocker失败，因此i_wrbuffer_ref永远不会返回 0，ihold（） 永远不会被删除，并且无法逐出 inode：VFS：
    fs/super.c：650！ 处的 ceph 内核缺陷卸载后 inode 繁忙在重脏化之前，通过 ceph_undo_wrbuffer_claim（） 释放中止路径中的孤立声明：分离 snap_context，终止 wrbuffer 引用（让 i_wrbuffer_ref 达到 0，并让 inode（） 达到 inode），并终止snap_context引用，即执行 writepages_finish（） 对这些从未提交的作品集执行的操作。仅撤消locked_pages条目;此调用从未对仍在 fbatch 中的 Folio 进行脏清除（folio_clear_dirty_for_io（） 为所有权转移点，成功移动 NULL 将使 fbatch 槽为空），因此它们不拥有此调用拥有的声明。（CVE-2026-89646）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smb：客户端：清除 free_tgts（） 中的 ce->tgthint 当 free_tgts（） 释放 ce->tlist 中的所有结构时，ce->tgthint 会指向释放的 cache_dfs_tgt 结构之一。如果在以后使用前未重置 ce->tgthint，会导致释放后使用。释放元素以反映没有保留任何元素之后，在 free_tgts（） 中将 ce->tgthint 设置为空。（CVE-2026-89636）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - udf：拒绝与条目计数相等的增值税索引 UDF 1.50 虚拟分区映射将增值税用作物理区块映射的数组。 s_num_entries存储该数组中的条目数，而不是最高有效索引。因此，有效的增值税指数低于s_num_entries。udf_get_pblock_virt15（） 目前仅拒绝大于 s_num_entries 的索引。特制的图像可以请求索引s_num_entries，通过边界检查，并使内核读取分配的增值税表之外的一个条目。
    将检查更改为拒绝区块 >= s_num_entries，以便将计数作为独占上限处理。特制的 UDF 图像在来源/主提交 0e35b9b6ec0ffcc5e23cbdec09f5c622ad532b53 上再现此漏洞，并在 udf_get_pblock_virt15（） 中提供 KASAN slab-out-of-bounds 报告。Trail of Bits 有一个复制器，可触发演示该缺陷的内核错误，并且可以在需要时共享它。（CVE-2026-89525）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/smc：仅当链接组仍在其设备列表中时，才在耗尽 rx tasklet smc_conn_free（） 调用 smc_ism_unset_conn（） 之前取消注册连接，并且从不设置 conn->killed。
    smc_lgr_terminate_sched（） 会立即断开组的链接并推迟终止其与工作项目的连接，因此该窗口中释放的连接会保持其 smcd->conn[] 插槽（smcd_handle_irq（） 中的两个门都打开），并且设备可在 tasklet_kill（） 返回后重新布防接收 tasklet。在 DMB-nocopy 路径中，ghost send 缓冲区在该耗尽之后立即释放，因此重新布防的 tasklet 会取消引用它。
    无条件取消注册并在两个拆卸点分离前进行排空，以镜像 smc_buf_unuse（） 在耗尽后释放的rmb_desc。在释放 conn->sndbuf_desc 之前也清除它，以便对指针进行采样的阅读器无法获取已释放的指针。（CVE-2026-80979）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - power：supply：cros_usbpd：将端口计数限制为 EC_USB_PD_MAX_PORTS 目前，cros_usbpd充电器驱动程序探测根据嵌入式控制器返回的原始充电器端口计数进行迭代。唯一的检查是针对嵌入式控制器也定义的 USB PD 端口的数量。恶意的嵌入式控制器可返回不准确的端口计数（最多 255），从而导致越界写入和后续内存损坏。更新 cros_usbpd-charger 中的帮助程序函数，将端口计数限制为EC_USB_PD_MAX_PORTS。（CVE-2026-89470）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：RCU-protect cl_cb_session修复会话拆卸时的释放后使用 DESTROY_SESSION过后，每个会话拆卸路径可在 rpciod 仍保留取消引用 clp->cl_cb_session 的 inflight 回调rpc_task时释放会话。nfsd4_probe_callback_sync（） 刷新 cl_callback_wq，但一旦 nfsd4_run_cb_work（） 调用 rpc_call_async（），rpc_task存在于 rpciod 上;刷新工作队列不会等待它。rpc_shutdown_client（） 会耗尽 rpciod 任务，但使用 1 秒wait_event_timeout卡在 rpc_delay（） 中的任务（例如 2 秒NFS4ERR_DELAY重试）可超过耗尽寿命。破坏路径 rpciod ------------ ------ unhash_session（ses） nfsd4_probe_callback_sync（clp） flush_workqueue（cl_callback_wq） /* 返回;rpc_task 仍然运行 */ nfsd4_put_session_locked（ses） free_session（ses） -> kfree（ses） nfsd4_cb_sequence_done（） reads cb_clp->cl_cb_session /* 已释放的 slab */ nfsd4_process_cb_update（） 中存在第二个窗口。当 __nfsd4_find_backchannel（） 返回 NULL 时，因为 unhash_session（） 已从 cl_sessions删除已破坏的会话，setup_callback_client（） 会提早返回 v4.1，因此 clp->cl_cb_session = ses 绝不会触发，并且该字段保留指向即将释放的会话的指针。通过将 cl_cb_session 转换为受 RCU 保护的指针修复这两个问题：- 将 setup_callback_client（） 中的 cl_cb_session = ses 分配移动到 rpc_create（） 成功之后，以便仅在存在有效的反向信道时才发布。清除 nfsd4_process_cb_update（） 中返回的错误cl_cb_session。两个存储都使用 rcu_assign_pointer（）。- 用__rcu注释cl_cb_session。所有 rpciod 端阅读器使用 rcu_read_lock（）/rcu_dereference（） 并检查 NULL，然后进入适当的错误路径或重新排队路径：encode_cb_sequence4args（）、decode_cb_sequence4resok（）、nfsd41_cb_get_slot（）、nfsd41_cb_release_slot（）、nfsd4_cb_prepare（） 和 nfsd4_cb_sequence_done（）。- 将 __free_session（） 从 kfree（） 切换到 kfree_rcu（），这样会话 slab 在 RCU 宽限期过后才会被回收，从而保证 rcu_read_lock（） 内的 rpciod 读取器永远不会取消引用释放的内存。- 将会话指针传递到nfsd_cb_seq_status并nfsd_cb_free_slot跟踪点，而非让它们重新读取cl_cb_session。- nfsd4_cb_prepare（） 会在会话为 NULL 时调用 rpc_exit（），通过 done/release 路径路由以重新排队回调。（CVE-2026-89708）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jbd2：跳过繁忙检查点缓冲区时检查 need_resched（） journal_shrink_one_cp_list（） 在通过 JBD2_SHRINK_BUSY_SKIP 调用时跳过繁忙的检查点缓冲区。此路径上的 continue 语句还会跳过循环正文末尾的 need_resched（） 检查。因此，当检查点列表包含大部分忙碌的缓冲区时，即使已请求重新计划，shrinker 也可在保留日志>j_list_lock的同时遍历整个列表。因此，处于内存压力下的大型检查点列表可造成较长的锁定保持时间，并使其他 CPU 处于j_list_lock状态旋转，从而导致软锁定或 RCU 等待。通过 need_resched（） 检查路由忙缓冲区路径，以便 shrinker 可以释放j_list_lock并及时重新计划，从而恢复与已检查 need_resched（） 的 clean-buffer 路径的奇偶校验。
    这不会更改哪些检查点缓冲区符合删除条件。（CVE-2026-89566）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sctp：一旦删除数据包的关联，便停止处理数据包 sctp_endpoint_bh_rcv（） 仅当 chunk->asoc 为 NULL 时查询关联，并且在不进行引用的情况下在 chunk->asoc 和 chunk->transport 中缓存结果。将不匹配任何关联的数据包传递到端点，因此对等方可以在一个数据包中捆绑 COOKIE ECHO、SHUTDOWN 和 SHUTDOWN ACK。COOKIE ECHO 创建关联，SHUTDOWN 区块对其进行缓存，当出队列为空时，SHUTDOWN ACK 会到达 sctp_sf_do_9_2_final（），从而释放关联及其传输。端点循环没有与 sctp_assoc_bh_rcv（） 中的 asoc->base.dead 检查相对应。下一个区块写入已释放的传输中的 last_time_heard，然后通过已释放的关联传递到 sctp_do_sm（）。传输通过 RCU 释放，因此这需要数据包从套接字 backlog 中脱离，循环在任务上下文中运行。端点循环无法进行相同的检查：它不持有关联的引用，因此读取 asoc->base.dead 本身将是释放后使用。就在命令解释器中将数据包标记为要丢弃，就在它删除关联之前。这也是在 sctp_inq_free（） 释放关联接收路径上的区块之前。
    sctp_sf_do_5_2_4_dupcook（） 为临时关联发出SCTP_CMD_DELETE_TCB问题，而数据包所属的关联保持活动状态。重新启动的对等机可以在其 COOKIE ECHO 后面捆绑 DATA，因此请与 chunk->asoc 进行比较并不考虑该情况。（CVE-2026-89479）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：ISST：验证 ioctl clos_assoc中的套接字 ID isst_if_clos_assoc（） 使用“socket_id > topology_max_packages（）”验证用户提供的socket_id，但isst_common。sst_inst[] 分配了 topology_max_packages（） 条目，因此有效索引范围为 [0， topology_max_packages（））。“>”比较允许 == socket_id topology_max_packages（） 传递和索引一个超出数组的条目。此外，对于没有绑定 TPMI SST 实例的范围内程序包，isst_common.sst_inst[socket_id] 为 NULL，并且在未进行 NULL 检查的情况下使用指针。然后，map_partition_power_domain_id（） 和后续power_domain_info访问将取消引用越界条目和空指针。拒绝 socket_id >= topology_max_packages（） 和与 get_instance（） 已执行的检查相匹配的 NULL sst_inst。（CVE-2026-89442）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - svcrdma：修复 read_chunk_range svc_rdma_read_chunk_range（） 遍历读取区块的段列表中的偏移算法，以针对位置零或调用区块构建从字节偏移开始并跨长度字节的子范围。每段循环中的两个算术缺陷会产生错误的 DMA 长度和 u32 下溢：
    pcl_for_each_segment（segment， chunk） { if （offset > segment->rs_length） { offset -= segment->rs_length;
    继续;} dummy.rs_handle = segment->rs_handle;dummy.rs_length = min_t（u32，长度，段>rs_length）
    - 偏移;dummy.rs_offset = 分段>rs_offset + 偏移量;首先，跳过谓词使用“>”而不是 '>='。当偏移量等于段的完整rs_length时，段已完全消耗，应跳过，但循环会落入正文。生成的dummy.rs_length为 min_t（u32， length， rs_length） - rs_length，当长度小于 rs_length 时下溢到接近UINT_MAX的 u32，否则为零。其次，长度公式从 min_t（） 结果中减去偏移量，而不是从端点之前的段>rs_length减去偏移量。对于偏移> 0，线段的残差为 rs_length - 偏移，而不是rs_length，因此必须将上限应用于残差。使用当前的括号时，只要长度小于 rs_length - 偏移量，每段长度就会变成长度 - 偏移量而不是长度，从而静默地从重建的区块中丢弃偏移字节。结合上面的边界情况，它还启用了 u32 下溢路径，该路径将巨大的nr_bvec传播到 svc_rdma_build_read_segment（） 中，并将 multi-MiB kmalloc_array_node传播到 svc_rdma_get_rw_ctxt（） 中。此外，当最后一个读取区块正好结束于调用区块的末尾时，svc_rdma_read_call_chunk（） 可以调用长度 == 0 的此函数。使用修正后的 >= 谓词，将跳过每个段，函数返回初始 -EINVAL，从而拒绝有效请求。长度为零时立即返回成功。长度用尽时，也应中断循环以避免将零长度段传递到 svc_rdma_build_read_segment（）。修复方法为 '>=' ，在 min_t（） 中移动“- offset”，以便将上限应用到段的剩余长度，为零长度请求返回成功结果，以及在消耗了请求的范围时停止迭代，从而跳过完全消耗的段。（CVE-2026-89533）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sctp：修复未传输的 RECONF 完成中的空取消引用 sctp_process_strreset_outreq（），sctp_process_strreset_addstrm_out（） 和 sctp_process_strreset_resp（） 通过停止发送该请求的传输上的 reconf 定时器来完成待定的流重新配置请求：t = asoc->strreset_chunk->transport;if （timer_delete（&t->reconf_timer）） sctp_transport_put（t）;
    将区块附加到出站数据包时由 __sctp_packet_append_chunk（） 分配 chunk->transport，并且 sctp_outq_flush_ctrl（） 在同一点布防重新构造计时器。已在 asoc->strreset_chunk 中发布但尚未传输的请求两者都没有，因此完成该请求会取消引用 NULL。到达那里的两种方法。当要删除的地址是关联的最后一个地址时，sctp_send_asconf_del_ip（） 设置 asoc->src_out_of_asoc_ok而不发送任何内容，然后 sctp_outq_flush_ctrl（） 使每个非 ASCONF 控制区块处于队列状态;由于只有 sctp_process_asconf_ack（） 清除该标记，它会持续存在。删除此类地址然后要求流重置的非特权进程会造成来自 softirq 的内核恐慌。对等机既不需要 ASCONF 也不需要本地帮助：sctp_cmd_interpreter（） 仅在处理整个数据包后披露出队列，因此遍历 RECONF 区块时构建的回复在该遍历的剩余时间内保持未传输状态，而一个携带 [Incoming SSN Reset Request， Outgoing SSN Reset Request， Response] -- 或一个数据包中的两个 RECONF 区块的 RECONF 区块会达到相同的取消引用。KASAN：范围内的 null-ptr-deref [0x00000000000001e8-0x00000000000001ef] RIP：0010：timer_delete+0x67/0x110 调用跟踪： <IRQ> sctp_process_strreset_addstrm_out （net/sctp/stream.c：832） sctp_sf_do_reconf （net/sctp/sm_statefuns.c：4212） sctp_do_sm （net/sctp/sm_sideeffect.c：1172） sctp_assoc_bh_rcv （net/sctp/associola.c：1044） sctp_rcv （net/sctp/input.c：243） ip_local_deliver （net/ipv4/ip_input.c：262） process_backlog （net/core/dev.c：6680） </IRQ> 响应只能确认实际发送的请求，因此当 chunk->transport 为 NULL 时不匹配 asoc->strreset_chunk。保护查找涵盖所有三个完成站点。（CVE-2026-89477）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：mts64：探测时检查卡索引有效性 尽管 mts64 驱动程序会检查指定的 devptr->id 值，但并未检查负 ID（通过 sysfs 绑定时，通常会给出为无值或此类值）。这可能导致对 index[] 和其他参数的 OOB 访问。添加卡片索引的健全性检查，如果其值超出范围则警告/更正。（CVE-2026-80968）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：rtw88：pci：修复失败的 NAPI 设置造成的资源泄漏 rtw_pci_probe（） 在设置 NAPI 之前通过 rtw_pci_setup_resource（） 分配 PCI 资源。如果 rtw_pci_napi_init（） 失败，错误路径会直接跳转到 err_pci_declaim 并跳过 rtw_pci_destroy（），留下 rtw_pci_setup_resource（） 分配的 PCI 资源。为 NAPI 设置失败路径添加专用的清理标签，以便探测销毁 PCI 资源。该缺陷最初是由我们在分析当前主线内核时针对内核内存管理缺陷开发的实验性分析工具标记的。该工具仍在开发中，尚未公开可用。手动检查确认 v7.1-rc7 中仍然存在该缺陷。x86_64 allyesconfig 版本未显示新警告。由于我们没有合适的 rtw88 PCI 板进行测试，因此无法执行运行时测试。（CVE-2026-80940）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cifs：修复 len == 0 时 cifs_remap_file_range（） 中的loff_t下溢 len == 0（克隆到 EOF）时，有效长度的计算公式为：len = src_inode->i_size - 关闭;如果> i_size关闭，则为负loff_t，损坏 FSCTL_DUPLICATE_EXTENTS_TO_FILE 请求中的 ByteCount 并反转 filemap_write_and_wait_range（） 中的范围。现有的 off >= i_size 检查仅在发送 ioctl 之后触发。为边界检查和长度计算生成一次 i_size_read（） 快照，从而消除 TOCTOU 和 32 位读取撕裂风险。拒绝使用 -EINVAL 关闭> src_size。将 off == src_size 视为非 op，与 __generic_remap_file_range_prep（） 一致。（CVE-2026-89640）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvme-tcp：不接受仅基于 blk_rq_payload_bytes（） 的 C2HData 提交 25e5cb780e62（nvme-tcp：修复 write_zeroes 处理中可能发生的崩溃）确定必须必须先检查 blk_rq_nr_phys_segments（） 就不能读取 blk_rq_payload_bytes（），并将结果记录为 req->data_len，并将结果记录在 nvme_tcp_setup_cmd_pdu（） 中。接收方保持原样。两者对于 REQ_OP_WRITE_ZEROES 不同，它没有物理段，但有一个非零 blk_rq_bytes（），因此设置不影响 req->iter，而接收门允许 C2HData 通过，并且 nvme_tcp_recv_data（） 复制到该标签上之前的任何命令留下那里。仅当分配了标签集时，驱动程序专用区域才会归零。使用在标签上留下残余迭代器然后在同一标签上发送 C2HData 作为WRITE_ZEROES命令的测试目标来重现： 缺陷：KASAN：_copy_to_iter+0x642/0x1330 中的内存访问 在地址 ffe728c2175dfa81 处按任务写入大小为 512 kworker/0：1H/103 CPU：0 UID：0 PID：103 Comm：kworker/0：1H 未受感染 7.2.0-rc5-NVMETCP-gf5098b6bae76 #1 PREEMPT（lazy） 硬件名称： QEMU Ubuntu 24.04 PC v2（i440FX + PIIX，arch_caps补丁，1996 年），BIOS 1.16.3-debian-1.16.3-2 04/01/2014 工作队列：nvme_tcp_wq nvme_tcp_io_work 调用跟踪： <TASK> dump_stack_lvl+0x53/0x70 kasan_report+0xce/0x100 ？ _copy_to_iter+0x642/0x1330 kasan_check_range+0x105/0x1b0 __asan_memcpy+0x3c/0x60 _copy_to_iter+0x642/0x1330 ？
    __pfx_sock_has_perm+0x10/0x10 ？worker_thread+0x45b/0xd10 ？__pfx__copy_to_iter+0x10/0x10 ？
    _raw_spin_lock_bh+0x83/0xe0 ？__pfx__raw_spin_lock_bh+0x10/0x10 __skb_datagram_iter+0xf3/0x820 ？
    __pfx_simple_copy_to_iter+0x10/0x10 ？__asan_memcpy+0x3c/0x60 ？skb_copy_bits+0x58d/0x830 skb_copy_datagram_iter+0x37/0x120 nvme_tcp_recv_skb+0xa07/0x4320 ？__pfx_nvme_tcp_recv_skb+0x10/0x10
    __tcp_read_sock+0x1ab/0x810 ？__pfx_nvme_tcp_recv_skb+0x10/0x10 ？__pfx_lock_sock_nested+0x10/0x10 ？
    __pfx___tcp_read_sock+0x10/0x10 nvme_tcp_try_recv+0x152/0x1e0 ？__pfx_nvme_tcp_try_recv+0x10/0x10 ？
    __pfx_mutex_unlock+0x10/0x10 nvme_tcp_io_work+0x1e4/0x6c0 ？__schedule+0x181a/0x49f0 ？
    __pfx_nvme_tcp_io_work+0x10/0x10 process_one_work+0x633/0x1030 保留 blk_rq_payload_bytes（） 测试并向其添加 req->data_len。旧测试会拒绝为不再执行的标签命名的 C2HData，因为 blk_update_request（） 在完成时将 rq->__data_len 归零;req->data_len 和 req->curr_bio 是驱动程序私有的，并且在完成后仍正常，因此它们不能代替它。仅当同时设置了 req->curr_bio 和 req->data_len时，设置才会初始化迭代器，因此门现在会测试相同的两者。（CVE-2026-89482）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mwifiex：中断等待时分离同步 cmd 缓冲区 mwifiex 同步命令将调用程序提供的数据缓冲区保持在 cmd_node->data_buf。多个调用程序在那里传递堆栈分配的对象。如果 wait_event_interruptible_timeout（） 被中断，调用方可在固件命令仍为当前命令时返回并释放该堆栈对象。随后，延迟固件响应会到达正常响应处理程序，该处理程序可通过 cmd_node->data_buf 将数据复制到过时堆栈地址中。这修复了在重复关联和解除关联周期中观察到的堆栈损坏。错误跟踪显示命令等待在错误指针取消引用之前立即中断：cmd_wait_q 终止：
    -512 无法处理虚拟地址 002c583837384662 中的内核分页请求 内核错误 - 不同步：stack-protector：内核堆栈已损坏... Tainted： [M]=MACHINE_CHECK 错误地址解码为小端 ASCII： 0x002c583837384662 -> bF878X，\0 是公开为 debugfs 版本的 VERSION_EXT 固件字符串的一个片段： w8997o-V4， RF878X， FP92， 16.92.21.p153.7 相同的运行也显示损坏的控制数据，其中包含： 0x2400372e333531 -> 153.7\0$，这是相同 VERSION_EXT 字符串的结尾。这指出在返回中断等待后，通过过时的堆栈支持data_buf写入的VERSION_EXT响应存在较晚。在中断或超时等待中取消待定命令后，从仍然当前的命令中分离调用程序拥有的数据缓冲区。这可保留现有的命令取消行为，同时防止延迟响应通过生命周期以等待调用程序结束的指针写入。使用 88W8997 在 i.MX8MP 板上进行测试。
    (CVE-2026-80944)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - apparmor：修复 null 终止标签 vec 时的越界写入 aa_vec_unique（） 传递 VEC_FLAG_TERMINATE 时 NULL 在 vec[n - dups] 处终止。如果组件都是不同的，则不会丢弃重复项，dups 为 0，终止符将转到 vec[n]，因此调用程序必须为 n + 1 条目提供空间。
    aa_label_strn_parse（） 使用 vec_setup（profile， vec， len， gfp） 设置其矢量，然后调用 aa_vec_unique（vec， len， VEC_FLAG_TERMINATE），但是 vec_setup（） 不保留终止符条目。到LOCAL_VEC_ENTRIES为止，它使用 LOCAL_VEC_ENTRIES 指针的本地数组，在其上方它会精确分配长度指针。因此，当 len LOCAL_VEC_ENTRIES时，终止符将一个条目放在本地数组的末尾之后，当 len 较大时，将一个条目放在分配的末尾之外。len 来自标签名称中 //&; 分隔的组件数，label_count_strn_entries（） 不对其进行绑定。
    非特权任务通过写入 /proc/self/attr/apparmor/current 或通过 lsm_set_self_attr（2） 到达解析，这两者均会经过 do_setattr（），并且会在检查change_profile权限前解析名称。securityfs .access 文件背后的 query_label（） 路径（模式 0666）完全不执行任何权限检查。每个组件都必须解析为加载的配置文件，因此需要加载策略的系统。另外两个 VEC_FLAG_TERMINATE 用户正在处理一个标签 vec，而 aa_label_alloc（） 已为 vec 上的 null 终止符条目调整了 + 1 大小。在 vec_setup（） 和 DEFINE_VEC（） 中保留相同的条目。转而从调用程序传递 len + 1 会将 len == LOCAL_VEC_ENTRIES 移出本地数组并移入 kzalloc（）。（CVE-2026-89761）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7996：在 EFUSE 复制之前绑定设备 EEPROM 地址 mt7996_mcu_get_eeprom（） 从 MCU 响应报告的地址派生 EFUSE/EXT 块复制的目标（event->addr，一种设备控制的__le32），并且仅限制复制长度，从不将目标偏移量限制为 dev->mt76.eeprom.data。恶意或故障设备可报告任意地址，并驱使超过 eeprom.data 最多 MT7996_EXT_EEPROM_BLOCK_SIZE 字节的越界写入。拒绝其地址会在派生目标指针之前将副本放在 eeprom.data 外部的响应。响应请求的入界偏移的设备不受影响。（CVE-2026-80935）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：延迟复合 ops 的 vfree 以修复 UAF rpc_status rpc_status netlink dumpit 遍历 rcu_read_lock 下的每个正在传输的svc_rqst，并且对于 NFSv4 请求，从 args->ops[] 中读取 opnums。但是 args->ops 是一个单独的 vmalloc 缓冲区，由每个复合结尾的 nfsd4_release_compoundargs（） 中的 vfree（） 同步释放。dumpit 的rcu_read_lock会固定 svc_rqst 结构本身（通过 kfree_rcu 释放），但并不会在 RCU 宽限期内延迟 ops 缓冲区的 vfree。因此，并发复合完成可在 dumpit 读取缓冲区时释放缓冲区，即 vmalloc 内存上的释放后使用。尾部 seqcount 重新检查（rq_status_counter的smp_load_acquire）无法撤消已针对已释放内存取消的负载。通过将 vfree（args->ops） 替换为 kvfree_rcu_mightsleep（） 来修复，该方法会将释放延迟到 RCU 宽限期过后。这使得 dumpit 中的现有rcu_read_lock足以保护读取。折中是，已完成的复合 ops 缓冲区（最多 200 * sizeof（struct nfsd4_op））在被回收之前，在内存中的保留时间稍长（跨越一个宽限期）。（CVE-2026-89690）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - eventfs：初始化 init_ei（） 中的 ei->children 和 ei->list eventfs_create_dir（） 分配eventfs_inode并使用 init_ei（） 对其进行初始化。但这不会初始化eventfs_inode list_heads。如果 eventfs_create_dir（） 由于内存压力而失败，它将在初始化列表之前调用 free_ei（），并检查以确保eventfs_inode没有子项。但由于该列表未初始化，它将发出错误警告。通过将列表初始化移至 init_ei（） 中修复此问题。[ 已重写变更日志 ]（CVE-2026-89618）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SUNRPC：在破坏回调服务之前关闭反向信道 在 NFS 回调服务停止时，反向信道接收能够完成请求。xprt_complete_bc_request（） 从 bc_pa_list 中删除请求，终止bc_alloc_count，标记正在使用的请求，然后要求 xprt_enqueue_bc_request（） 将其传递给回调服务。如果 teardown 已清除 xprt->bc_serv，则 xprt_enqueue_bc_request（） 当前在不排队或释放已提交请求的情况下返回。输入时采用的 xprt_get（） 也会被泄漏。如果生产者在清除bc_serv之前赢得争用，它也可以在 nfs_callback_down（） 停止回调线程后排队到 sv_cb_list，使请求链接到即将释放的svc_serv。在停止回调线程之前关闭生产者端。添加 xprt_svc_shutdown_bc（） 以清除 bc_pa_lock 下的 xprt->bc_serv，并在回调关闭和回调启动失败时停止服务线程之前调用它。在 xprt_enqueue_bc_request（） 中丢失空转换的请求在平衡bc_slot_count后通过正常反向信道自由路径释放。最后，在回调线程停止之后和 svc_destroy（） 释放服务之前，耗尽所有剩余的 sv_cb_list 请求。（CVE-2026-89546）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - tracing：修复将ERR_PTR传递给 kthread_stop（） event_test_stuff（） 调用 kthread_run（） 并将返回的 task_struct 指针无条件传递到 kthread_stop（） 的崩溃。kthread_run（） 会在 kthread 创建失败时返回错误指针，例如 ERR_PTR（-ENOMEM），例如在引导时间事件自检期间的内存压力下。然后 kthread_stop（） 取消引用无效的指针，从而造成内核崩溃。
    在将 kthread_run（） 传递到 kthread_stop（） 之前检查其结果。使用 WARN_ON（） 以便创建自测试线程失败的情况不会被忽视，这与提交 91542863abad 中的 ring-buffer 自测试补丁相匹配（ring-buffer：修复将ERR_PTR传递到 kthread_stop（）） 的崩溃。（CVE-2026-89749）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - serial：imx：serialize imx_uart_ports[] lifetime imx_uart_probe（） 在 uart_add_one_port（） 之前发布其 devm 分配的端口 imx_uart_ports[] ，因为控制台设置使用该表。添加端口失败或删除后未清除条目，留下一个悬摆指针。同级探测可通过该过时条目注册共享控制台。此操作已在 QEMU mcimx6ul-evk 的 KASAN 下通过取消绑定同级 UART、取消绑定控制台 UART 并重新绑定同级来重现。通过 uart_remove_one_port（） 保持该条目有效，然后将其清除。保护端口的添加和删除及其表更新，以便同级操作不能交错。拒绝被占用的插槽，而非在重复行探测期间破坏活动端口。（CVE-2026-89740）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NTB：ntb_transport：QP 链路向下时 TX 排队失败 提交 f195a1a6fe41（ntb：qp 链路向下时丢弃数据包）的目的是在 QP 链路向下时使 ntb_transport_tx_enqueue（） 丢弃提交的数据包，但它仅返回 0 而不消耗数据包。零表示此函数的契约成功，因此ntb_netdev报告NETDEV_TX_OK而忘记了 skb：没有任何内容排队，没有任何内容释放它，并且它会泄漏，每一次传输争用链路下，就有一个 skb。返回 -ENOLINK，从而还原非零返回的合约，使其离开调用者拥有的缓冲区。使用上述修补程序时，ntb_netdev 在发生不可重试的排队失败时释放 skb 并返回 NETDEV_TX_OK，因此可能会丢弃带链接向下的数据包争用，而不会泄露或进入繁忙的重试循环。（CVE-2026-80988）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dm array：拒绝值大小不是调用方 array_block_check（） 的数组块只能比较标头和自身，因此具有 value_size 4 和 max_entries 1018 的块在内部是一致的并传递。dm-cache 保留了两个数组（映射位于 8 字节，提示位于 4 字节），两者的根都位于超级块中。将映射根指向提示块，然后 __load_mappings（） 对其遍历值大小为 8 的信息，因此 element_at（） 跨过 4 字节条目 8 个字节并到达 4096 字节块的偏移 8160。get_ablock（） 和 __shadow_ablock（） 是同时保存块和调用程序的两个地方。当两个值大小不一致时，拒绝。数组只会读取自己的区块，因此这只会在构建的元数据上触发。（CVE-2026-89573）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SUNRPC：拒绝含有过大的 ec 字段 krb5 v2 封装标记 gss_krb5_unwrap_v2（） 将 buf->len 设置为一个逻辑长度，该长度可远小于 head[0].iov_len（分配的接收页面容量）。然后，它会调用 xdr_buf_trim（），其修剪长度源自 Kerberos v2 标记标头中的 16 位额外计数 （ec） 字段。ec 字段由解密后的 memcmp（） 根据加密的标头副本进行认证，因此随机突变值会被拒绝。但是，任何持有有效 GSS 上下文的对等机都可以合法地加密 ec 超过明文长度的标记。根据 RFC 4121，这类标记在结构上是畸形的。尽管 xdr_buf_trim（） 现在限制了 buf->len 减法以避免无符号下溢，但当 ec 过大时，缓冲区仍处于语义无效状态（零长度、不一致的 iov 长度）。在调用 xdr_buf_trim（） 之前拒绝这些标记，给调用者提供明确定义的GSS_S_DEFECTIVE_TOKEN错误并保持xdr_buf内部一致性。封装的 blob 以非零偏移开始 -- 两个调用程序都以偏移 + opaque_len 传递 len -- 因此 buf->len 仍会计算 blob 之前的偏移字节。将修剪长度与剩余的封装段 buf->len - 偏移量而不是整个缓冲区进行比较;单独与 buf->len 进行比较会留下一个偏移宽的窗口，在这个窗口中，超大的 EC 通过测试，而 xdr_buf_trim（） 会切入 blob 前面的字节。
    (CVE-2026-89538)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommufd：避免在 unmap 期间锁定内部访问 iommufd_access_notify_unmap（） 跳过内部访问，因为它们没有可供调用的外部取消映射回调。但是，当前测试会在检查访问是否为内部访问之前调用 iommufd_lock_obj（）。如果 iommufd_lock_obj（） 成功，则循环随后会看到内部访问并继续操作，绕过正常取消映射路径使用的匹配 iommufd_put_object（）。这会泄露 iommufd_lock_obj（） 获取的对象引用。首先检查内部访问，这样就永远不会锁定跳过的条目。（CVE-2026-89447）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：上限公布的 IP 隧道余量 IP 隧道设备从较低输出设备派生其公布的needed_headroom。用户创建的设备堆栈可使派生值大于 16 位 skb 标头偏移所能代表的值。一旦 IP 输出保留了它，skb 头扩展就可以封装这些偏移。
    运行时传输路径已经将不断增长的needed_headroom上限为 512。当隧道配置发布来源于较低输出设备的needed_headroom时，应用相同的上限。封装通告值是安全的：当数据包需要更多余量时，IP 隧道传输仍会扩展 skb。因此，无意义的堆叠配置可能会造成额外的重新分配，但无法将无限预留发布至上层。（CVE-2026-80978）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hugetlb：仅当 mapcount 为 0 时才在取消映射期间调整保留 自 df7a6d1f6405 起，
    __unmap_hugepage_range可以调整预留。对于同时映射在父项和子项中的作品集，如果父项先取消映射范围，则预留调整将导致预留计数下溢。一旦子进程取消映射范围，计数就会恢复。更改 __unmap_hugepage_range（） 以在调整预留之前检查地图计数。（CVE-2026-89593）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
345448	Linux Distros 未修补的漏洞：CVE-2026-90557	medium
345447	Linux Distros 未修补的漏洞：CVE-2026-90558	critical
345445	Linux Distros 未修补的漏洞：CVE-2026-89511	high
345444	Linux Distros 未修补的漏洞：CVE-2026-89560	high
345443	Linux Distros 未修补的漏洞：CVE-2026-89668	high
345442	Linux Distros 未修补的漏洞：CVE-2026-89643	critical
345441	Linux Distros 未修补的漏洞：CVE-2026-89550	critical
345440	Linux Distros 未修补的漏洞：CVE-2026-89731	high
345439	Linux Distros 未修补的漏洞：CVE-2026-89508	high
345438	Linux Distros 未修补的漏洞：CVE-2026-89706	high
345437	Linux Distros 未修补的漏洞：CVE-2026-80990	medium
345436	Linux Distros 未修补的漏洞：CVE-2026-89724	high
345435	Linux Distros 未修补的漏洞：CVE-2026-89682	high
345434	Linux Distros 未修补的漏洞：CVE-2026-89584	high
345433	Linux Distros 未修补的漏洞：CVE-2026-89481	high
345432	Linux Distros 未修补的漏洞：CVE-2026-89739	high
345431	Linux Distros 未修补的漏洞：CVE-2026-80996	high
345430	Linux Distros 未修补的漏洞：CVE-2026-89696	high
345429	Linux Distros 未修补的漏洞：CVE-2026-89603	high
345428	Linux Distros 未修补的漏洞：CVE-2026-81004	high
345427	Linux Distros 未修补的漏洞：CVE-2026-89719	high
345426	Linux Distros 未修补的漏洞：CVE-2026-89646	high
345425	Linux Distros 未修补的漏洞：CVE-2026-89636	critical
345424	Linux Distros 未修补的漏洞：CVE-2026-89525	medium
345423	Linux Distros 未修补的漏洞：CVE-2026-80979	high
345422	Linux Distros 未修补的漏洞：CVE-2026-89470	high
345421	Linux Distros 未修补的漏洞：CVE-2026-89708	critical
345420	Linux Distros 未修补的漏洞：CVE-2026-89566	medium
345419	Linux Distros 未修补的漏洞：CVE-2026-89479	critical
345418	Linux Distros 未修补的漏洞：CVE-2026-89442	high
345417	Linux Distros 未修补的漏洞：CVE-2026-89533	critical
345416	Linux Distros 未修补的漏洞：CVE-2026-89477	high
345415	Linux Distros 未修补的漏洞：CVE-2026-80968	high
345414	Linux Distros 未修补的漏洞：CVE-2026-80940	medium
345413	Linux Distros 未修补的漏洞：CVE-2026-89640	high
345412	Linux Distros 未修补的漏洞：CVE-2026-89482	critical
345411	Linux Distros 未修补的漏洞：CVE-2026-80944	high
345410	Linux Distros 未修补的漏洞：CVE-2026-89761	high
345409	Linux Distros 未修补的漏洞：CVE-2026-80935	high
345408	Linux Distros 未修补的漏洞：CVE-2026-89690	high
345407	Linux Distros 未修补的漏洞：CVE-2026-89618	medium
345406	Linux Distros 未修补的漏洞：CVE-2026-89546	critical
345405	Linux Distros 未修补的漏洞：CVE-2026-89749	medium
345404	Linux Distros 未修补的漏洞：CVE-2026-89740	high
345403	Linux Distros 未修补的漏洞：CVE-2026-80988	medium
345402	Linux Distros 未修补的漏洞：CVE-2026-89573	high
345401	Linux Distros 未修补的漏洞：CVE-2026-89538	critical
345400	Linux Distros 未修补的漏洞：CVE-2026-89447	medium
345399	Linux Distros 未修补的漏洞：CVE-2026-80978	high
345398	Linux Distros 未修补的漏洞：CVE-2026-89593	high

检测

Nessus 的 Misc. 系列

medium

critical

high

high

high

critical

critical

high

high

high

medium

high

high

high

high

high

high

high

high

high

high

high

critical

medium

high

high

critical

medium

critical

high

critical

high

high

medium

high

critical

high

high

high

high

medium

critical

medium

high

medium

high

critical

medium

high

high