Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - i3c：renesas：修复 newdevs 掩码的越界访问 当软件启动 DAA（动态地址分配）时，控制器会通过 NRSPQP（正常响应队列端口寄存器）报告结果。响应描述符的数据长度字段（可通过 NRSPQP 寄存器访问）指示 DAA 之后剩余的设备数。因此，当总线为空时，此字段包含控制器支持的最大设备数（Renesas I3C 控制器为 8）。调整计算新发现的设备位掩码的条件，以防止 I3C 总线为空时出现越界。（CVE-2026-89728）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：扩大 nfsd_genl_rqstp 地址字段以sockaddr_storage struct nfsd_genl_rqstp声明 rq_daddr 和 rq_saddr 为普通 struct sockaddr（16 字节）。连接 IPv6 NFS 客户端时，nfsd_genl_rpc_status_compose_msg（） 将这些字段转换为结构 sockaddr_in6 *（28 字节），并在偏移 8..24 处读取sin6_addr，这会延伸 8 字节，超过 16 字节 sockaddr 字段的末尾进入相邻的 rq_flags 成员。然后，这个 16 字节nla_put_in6_addr通过 NFSD_A_RPC_STATUS_SADDR6/DADDR6 netlink 属性将 8 字节的截断 IPv6 地址和 8 字节的rq_flags发送到用户空间。
    网络命名空间中任何无权限的进程都可以访问此漏洞，因为 NFSD_CMD_RPC_STATUS_GET 使用GENL_CMD_CAP_DUMP而不GENL_ADMIN_PERM。通过扩大 struct sockaddr_storage的rq_daddr和rq_saddr进行修复，以便 IPv6 转换在界内运行，复制 memcpy 调用中的 sizeof（struct sockaddr_storage） 字节以便捕获完整地址，以及将 genl_rqstp 堆栈变量设置为零初始化以防止通过 netlink 泄漏未初始化的尾字节。（CVE-2026-89698）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 libtiff 中发现一个缺陷。由于处理构建的 BigTIFF 文件时出现整数截断错误，“tiff2pdf”实用工具中存在堆缓冲区溢出漏洞。攻击者可提供特别构建的 BigTIFF 文件，造成 64 位“StripByteCounts”值被截断成 32 位整数。这会导致内存分配过小和后续的越界内存复制，从而造成崩溃和严重的内存损坏。（CVE-2026-18495）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - lockd、nfsd：RCU-protect nlmsvc_ops分派nlmsvc_ops由 nfsd_lockd_init（） 发布，并由 nfsd_lockd_shutdown（） 使用普通存储进行清除，而 lockd 会取消引用 fs/lockd/svcsubs.c 中的分派站点对其进行取消引用。指针以 nfsd 的 .rodata 为目标，而 fopen/fclose 回调存在于 nfsd 的 .text 中，因此 rmmod nfsd 后的过时加载会导致空指针取消引用或模块文本释放后使用。
    将nlmsvc_ops声明为 __rcu，通过 rcu_assign_pointer（） 发布，通过 RCU_INIT_POINTER（） + synchronize_rcu（） 清除。向nlmsvc_binding添加结构模块 *owner 字段，并通过 try_module_get/module_put 将模块固定在间接调用中。拆散绑定后，回退到 fput（） 以避免泄漏结构文件引用。（CVE-2026-89709）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSD：防止在 NFSv4.0 撤消状态清理期间客户端释放后使用 nfs40_clean_admin_revoked（） 采用 clp->cl_lock 下的 stateid 引用，终止 nn->client_lock，并调用 nfsd4_drop_revoked_stid（），后者通过 s->sc_client->cl_lock 取消引用 stateid 的客户端。stateid 引用不会固定客户端，因此与已终止锁定争用的拆卸可在 nfsd4_drop_revoked_stid（） 仍在使用客户端时将其释放。该清理从 laundromat 运行，因此由写入 clients/<id>/ctl 文件驱动的定期扫描可争用 force_expire_client（）。跳过已经过期的客户端，然后用 client_lock 下的 cl_rpc_users 固定，然后再放置锁定，进而符合 nfsd4_revoke_states（）。（CVE-2026-89658）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ACPI：APEI：GHES：修复标头之后的 ARM 部分长度核算 在 ghes_handle_arm_hw_error（） 中，跳过具有 （err + 1） 的 cper_sec_proc_arm 标头后，剩余长度将减少 sizeof（err）（指针大小）而非 sizeof（*err）（结构大小）。这会高估为 cper_arm_err_info 记录保留的字节，并且当 CPER 相对于error_data_length足够大时err_info_num可让解析器读取 CPER 部分。使用 sizeof（*err） 以便长度核算匹配指针前进和较早的 sizeof（*err） 大小检查。（CVE-2026-89588）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/sva：在 SVA 句柄可见之前设置 handle->dev iommu_attach_device_pasid（） 会在 iommu_sva_bind_device（） 返回前在群组 PASID 查找中安装新的 SVA 附加句柄。因此，并发绑定可在卸iommu_sva_lock后找到并重用相同的句柄。handle->dev 在丢弃 iommu_sva_lock 后进行了初始化。这留下一个窗口，争用绑定可在此窗口中返回 dev 指针仍然是 NULL 的句柄。随后的 iommu_sva_unbind_device（） 可以通过 handle->dev->iommu_group 对其进行取消引用。在释放 iommu_sva_lock 之前初始化 handle->dev，以便所有可见的 SVA 句柄完全初始化。（CVE-2026-89451）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - module：验证字符串表部分类型 在 elf_validity_cache_sechdrs 中，除非部分类型为 SHT_NULL 或 SHT_NOBITS，否则会验证部分大小和偏移。稍后，elf_validity_cache_secstrings和elf_validity_cache_index_str访问部分名称表 （.shstrtab） 和符号字符串表 （.strtab） 标头，而无需首先确保其类型SHT_STRTAB。如果部分类型为 SHT_NULL 或 SHT_NOBITS，则sh_offset未经验证，在 elf_validity_cache_secstrings 或 elf_validity_cache_strtab 中取消引用时可能引用越界内存。缓存两个字符串部分标头是否为 SHT_STRTAB 类型。（CVE-2026-89556）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：rtl8xxxu：修复停止 rtl8xxxu arm rx_urb_wq时rx_urb_wq中的释放后使用 RX 完成路径中的 arm：rtl8xxxu_rx_complete（） 将 URB 交给 rtl8xxxu_queue_rx_urb（），后者会在 rx_urb_pending_list 上将其排队，一旦列表超过 RTL8XXXU_RX_URB_PENDING_WATER，便会计划rx_urb_wq。工作线程 rtl8xxxu_rx_urb_work（） 耗尽rx_urb_pending_list，通过 container_of 恢复 priv，并通过 rtl8xxxu_submit_rx_urb（） 重新提交每个 URB，这样会将其锚定在 rx_anchor 上并取消引用 priv->udev。rtl8xxxu_stop（） 会取消同级工作项（c2hcmd_work、ra_watchdog、update_beacon_work），但从不取消rx_urb_wq，所以在 rtl8xxxu_disconnect（） 调用 ieee80211_free_hw（） 之后，在最后一次 RX 流量突发期间武装的工作线程可运行 rtl8xxxu_rx_urb_work（），这样会释放 priv，产生释放后使用。窗口在活动 RX 流量（水印上方的计数待定）下打开，然后断开连接。有两个拆卸争用需要结束：* rtl8xxxu_queue_rx_urb（） 决定是否在 rx_urb_lock 下排队，但在放置锁定之后调用 schedule_work（）。观察到 shutdown == false 并释放锁定的完成随后可在 rtl8xxxu_stop（） 设置关闭且 cancel_work_sync（） 已返回后调用 schedule_work（），武装工作线程在拆卸后运行。
    将 schedule_work（） 移动到同一个 ！shutdown 分支下，这样布防决策对于关机检查具有原子性。* rtl8xxxu_rx_urb_work（） 通过 rtl8xxxu_submit_rx_urb（） 将其耗尽回rx_anchor的每个 URB 定位。返回 usb_kill_anchored_urbs（&priv->rx_anchor） 时仍在运行的工作线程将提交逃避终止的 URB。在 rtl8xxxu_stop（） 中，在终止前调用 cancel_work_sync（&priv->rx_urb_wq），以便首先耗尽工作线程。在 rx_urb_lock 下设置 priv->shutdown 后，完成不能再排队rx_urb_wq。然后，cancel_work_sync（） 耗尽最后一个排队或运行的工作线程，而以下 usb_kill_anchored_urbs（） 会终止其可能已提交的 URB。覆盖 rtl8xxxu_disconnect（） 是因为 ieee80211_unregister_hw（） 保证在 ieee80211_free_hw（） 释放 priv 之前为实时接口运行 .stop（）。探测错误路径不需要取消：rx_urb_wq 已在那里INIT_WORK（）d，但无法计划，因为在 ieee80211_register_hw（） 成功之前未提交任何 URB。此缺陷是通过静态分析发现的。（CVE-2026-80947）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：rtlwifi：rtl8192du：修复 rtl92du_init_sw_vars（） 中可能的内存泄漏 在 rtl92du_init_shared_data（） 内分配的内存在 rtl92du_init_sw_vars（） 之后的任何错误路径中均未释放。
    通过在错误路径中添加对 rtl92du_deinit_shared_data（） 的调用修复此问题。（CVE-2026-80942）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：bcd2000：清除断开连接上的 URB 指针 bcd2000_free_usb_related_resources（） 会释放两个 URB 并留下指针：usb_kill_urb（bcd2k->midi_out_urb）;usb_kill_urb（bcd2k->midi_in_urb）;
    usb_free_urb（bcd2k->midi_out_urb）;usb_free_urb（bcd2k->midi_in_urb）;rawmidi 设备的寿命比那个调用更长。拔出设备时仍然打开的子流在关闭时从触发路径到达 bcd2000_midi_send（）。该函数写入释放的 URB，然后将其传递到 USB 核心：
    bcd2k->midi_out_urb->transfer_buffer_length = BUFSIZE;...ret = usb_submit_urb（bcd2k->midi_out_urb，GFP_ATOMIC）;usb_kill_urb（） 也不会停止以后的提交，因此与断开连接争用的提交可在收获 URB 之后重新排队。midi_in_urb的暴露方式相同：
    bcd2000_input_complete（） 从完成处理程序重新提交它。KASAN on 7.2.0-rc5 （arm64）： 缺陷： KASAN：
    bcd2000_midi_send 中的释放后使用 slab [snd_bcd2000] 任务 bpoc/168 在地址 ffff00001827d388 处的写入大小为 4 __asan_store4 bcd2000_midi_send [snd_bcd2000] bcd2000_midi_output_trigger [snd_bcd2000] 由任务 168 释放的 snd_rawmidi_kernel_write1 close_substream.part.0： usb_free_urb bcd2000_disconnect [snd_bcd2000] 缺陷：KASAN：在 addr ffff00001827d3b8 处的 usb_submit_urb 读取中释放后使用 slab-use-after-free，并对其进行测试仍然可以运行的路径。在释放 URB 之前使其中毒：usb_poison_urb（） 会等待正在运行的完成处理程序并拒绝任何后续提交，因此在其返回之后，输入路径会静止，只有 rawmidi 触发路径仍可到达 bcd2000_midi_send（）。不需要解毒;URB 在下一行释放。由 XBOW 发现，由 Baul Lee <baul.lee@xbow.com> 分类 （CVE-2026-80971）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ovl：修复 casefold-mismatch 路径中的双重 end_creating（） 当 casefold 一致性检查失败时 ovl_create_real（） 会释放两次新的 dentry。S_IFDIR 分支调用 end_creating（） 并设置 err，然后落到再次在同一 dentry 上调用 end_creating（） 的 common out： label：case S_IFDIR： newdentry = ovl_do_mkdir（ofs， dir， newdentry， attr->mode）;err = PTR_ERR_OR_ZERO（newdentry）;if （！err， &&; ofs->casefold ！= ovl_dentry_casefolded（newdentry）） { pr_warn_ratelimited（...）;
    end_creating（纽德entry）;/* 第一个 */ 错误 = -EINVAL;} 中断;...if （err） goto out;...out： if （err） {end_creating（newdentry）; /* second， same dentry */ return ERR_PTR（err）; } end_creating（） 是 end_dirop（），它对父目录项执行 inode_unlock（），对 dentry 执行 dput（），因此父目录的 i_rwsem 被解锁两次，dentry 被放置两次。第二次解锁释放未持有的锁，这是楔入该父项下每个后续创建的锁，第二个 dput（） 会删除从未采用的引用。分支由提交 dfc7da402ccc（ovl：创建新 dentry 时检查大小写折号一致性）添加为裸 dput（），其已发布两次引用;commit fe497f0759e0（VFS：将 vfs_mkdir（） 更改为失败时解锁。）将两个站点都转换为 end_creating（），并添加了双重解锁。非特权用户可以访问此漏洞。层的折包一致性会在 ovl_parse_layer（） 中的挂载时进行验证，并在 ovl_lookup_single（） 中的每次查找时再次验证，但 ofs->workdir 是在用户提供的 workdir 内创建的内部工作子目录，该子目录不会重新检查。
    因此，在挂载之后将其标记为 casefolded 会使每个 ovl_create_temp（） 继承错误的状态 - 并且该路径通过 ovl_start_creating_temp（） 到达 ovl_create_real（），后者使用具有生成名称的 start_creating（），因此从不运行查找时检查。unshare -Urm mount -t tmpfs -o casefold=utf8-12.1.0 tmpfs mnt mkdir -p mnt/lower/d mnt/upper mnt/work mnt/merged mount -t overlay ovl -o lowerdir=mnt/lower，\ upperdir=mnt/upper，workdir=mnt/work mnt/merged chattr +F mnt/work/work mkdir mnt/merged/d/sub # 目录复制 overlayfs：继承的 casefold 错误 （work/#5） 父项i_rwsem上的下一个复制区块永久存在： mkdir D start_creating+0x65/0xb0 ovl_start_creating_temp+0xb0/0xe0 [叠加] ovl_create_temp+0xa3/0x1d0 [叠加] ovl_copy_up_one+0x1f1c/0x21c0 [叠加] ovl_copy_up_flags+0xf5/0x140 [叠加] ovl_create_object+0xb7/0x220 [叠加] ovl_mkdir+0x23/0x40 [叠加] 从分支中丢弃 end_creating（） 并放出：拥有清理， 这是此函数中的每个其他错误路径都已经执行的操作。（CVE-2026-89767）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - libnvdimm/labels：防止 __nd_label_validate（） 中的整数溢出 媒体命名空间索引字段 nslot 是从 DIMM 标签存储区域读取的 u32。__nd_label_validate（） 会根据配置区域大小限制其，但 sizeof_namespace_label（） 返回无符号，因此产品 nslot * label_size 会以 32 位计算，并在比较前封装模数 2^32。特制的 nslot 过界后用作 nd_label_data_init（） 中的循环跳闸计数，其 memset（） 会从config_size缓冲区的末端走出：越界写入。字段不可信，它来自媒体，或通过ND_CMD_SET_CONFIG_DATA来自用户空间。在 64 位中评估产品，以便边界检查准确;符合要求的标签不受影响。提交 4a826c83db4e 引入此检查时是安全的（libnvdimm：命名空间索引：
    读取并验证）：它乘以size_t的 sizeof（struct nd_namespace_label），因此在 64 位版本中，产品未封装。提交 564e871aa66f（libnvdimm，标签：添加 v1.2 nvdimm 标签定义）在标签大小变成通过 sizeof_namespace_label（） 读取的运行时值时将其缩小到 32 位。
    (CVE-2026-89559)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：ravb：避免取消引用无效的 PTP 时钟 在第一次打开之前 PTP 时钟不可用，因此查询其索引可取消引用空指针。注册失败也会在 priv->ptp.clock 中留下错误指针。单独缓存 PHC 索引并在未注册时钟时报告 -1。将注册错误规范化为 NULL 并保留静态时间戳功能。（CVE-2026-80992）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：iwlwifi：dvm：修复 iwl_op_mode_dvm_start（） 中的内存泄漏 在 iwl_op_mode_dvm_start（） 中，跳转到 out_free_eeprom 目前会绕过out_free_eeprom_blob标签。因此，在成功解析 EEPROM 释放 priv->nvm_data 但泄漏 priv->eeprom_blob 后，错误路径会触发。通过重新排序错误处理标签来修复此内存泄漏，使out_free_eeprom停止out_free_eeprom_blob。我们正在开发的用于内核内存管理缺陷的实验性分析工具在分析 v6.13-rc1 时，首先标记此缺陷。该工具仍在开发中，尚未公开可用。手动检查确认 v7.1-rc6 中仍然存在该缺陷。x86_64 allyesconfig 版本未显示新警告。由于我们没有支持英特尔 DVM 无线硬件和固件进行测试，因此无法执行运行时测试。（CVE-2026-80948）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7925：停止时取消mlo_pm_work 在多链路节能设置期间，mt7925 排队mlo_pm_work 5 秒延迟，并且从不在停止路径上取消。如果设备在该窗口内被拆散，则该工作的寿命将超过拆卸时间，其定时器会在随后触发，尝试排队到已经消失的工作队列：工作队列：无法在 wq phy0 上排队 mt7925_mlo_pm_work [mt7925_common] 警告：
    kernel/workqueue.c：2283 at __queue_work+0x59/0xa0， CPU#1：swapper/1/0 call_timer_fn+0x2a/0x140
    __run_timers+0x203/0x330 run_timer_softirq+0x86/0xf0 mt7921 已有自己的停止回调，因此请为 mt7925 添加一个可在调用 mt792x_stop（） 之前取消工作的停止回调。mt7925_ops同时支持 PCIe 和 USB 驱动程序，因此这涵盖了两者。（CVE-2026-80936）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - btrfs：修复 NOCOW 直接 I/O 写入 btrfs_dio_iomap_begin（） 调用 btrfs_get_extent（） 中的盘区映射泄漏，此调用返回所有退出路径中必须丢弃的盘区映射引用。对于直接写入 NOCOW 范围，btrfs_get_blocks_direct_write（） 会持续使用该盘区映射并要求 btrfs_create_dio_extent（） 分配有序盘区。如果失败，例如因为 btrfs_alloc_ordered_extent（） 失败，该函数将返回错误，而不会丢弃输入盘区映射。
    PREALLOC 路径在将输入范围映射替换为新创建的映射之前先将其丢弃，从而避免了这种情况。在替换映射之前检查来自 btrfs_create_dio_extent（） 的错误，并在失败时终止输入盘区映射。（CVE-2026-89644）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fs/ntfs3：验证日志重播中的脏页表 每个DIR_PAGE_ENTRY都以长度 page_lcns[] 为磁盘上的lcns_follow字段的数组结尾。 check_rstbl（） 会验证表簿记，但从不检查此数组是否适合条目，因此构建的lcns_follow会让 v0->v1 转换 memmove 和以后的重放传递从条目中运行。添加 check_dp_table（） 以紧跟在 check_rstbl（） 之后通过 struct_size（） 拒绝任何大于其大小声明的条目（用于分配这些条目的相同表达式，因此通过构造检查是溢出安全的）。然后，所有使用者都可以信任lcns_follow作为实际容量。
    这涵盖 page_lcns[] 索引以条目本身为边界的所有访问（转换内存移动、通过 find_dp（） 实现的热修复存储，以及自边界扫描循环）。索引来自日志记录的访问需要单独的边界，并在后续修补程序中进行处理。（CVE-2026-89617）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：serial-U16550：探测时检查卡索引有效性 serial-U16550 驱动程序盲目地相信探测时给定的 devptr->id 值在正确的卡索引范围内。对于驱动程序本身在模块探测时创建的设备来说没有问题，但如果设备通过 sysfs 接口手动绑定，则可能
    -1 为 none，并导致 index[] 和其他参数的 OOB 访问。添加卡片索引的健全性检查，如果其值超出范围则警告/更正。（CVE-2026-80965）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：dell-wmi-sysman：不十六进制转储属性安全缓冲区 set_attribute（） 通过 populate_security_buffer（） 以当前管理员密码填充 BIOS 属性请求缓冲区的安全区域，然后使用 print_hex_dump_bytes（） 转储整个请求缓冲区。这会在内核日志中泄露明文管理员密码。通过提交 d1a196e0a6dc，对密码属性路径修复了同样的问题（平台/x86：dell-wmi-sysman：不十六进制转储明文密码数据）。
    从 BIOS 属性路径中删除剩余的转储。（CVE-2026-89444）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前的 aiosmtplib 5.1.3 无法正确验证调用方提供的电子邮件地址，从而允许攻击者将 ESMTP 参数注入 MAIL FROM 和 RCPT TO 命令行。攻击者可以构建包含空格和尖括号的恶意地址，以将 AUTH、NOTIFY 或 ORCPT 等参数附加到信封命令中，伪造经身份验证的身份或强制向第三方发送通知。
    (CVE-2026-90467)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xdp：修复零复制帧布局 xdp_convert_zc_to_xdp_frame（） 将 XSK 数据包克隆到 order-0 页面中并公布PAGE_SIZE作为其帧大小。这使得复制的帧得以占据skb_shared_info所需的页尾，即使元数据将帧标头与数据包数据分开，仍会记录零余量。
    因此，通过 cpumap 重定向的AF_XDP零拷贝数据包可使 skb 重叠skb_shared_info或将其置于分配页面之外。将复制的布局限制为 SKB_WITH_OVERHEAD（PAGE_SIZE），并在帧余量中包括元数据长度。重定向调用方已处理空转换结果。BUG：
    KASAN：任务 cpumap/1/map：1/146 在地址 ffff88800cf37004 处的大小为 4 的 skb_gro_receive 中的 slab-out-bound 写入 调用跟踪：skb_gro_receive （net/core/gro.c：174） udp_gro_receive （net/ipv4/udp_offload.c：812） inet_gro_receive （net/ipv4/af_inet.c：1539） dev_gro_receive （net/core/gro.c：515） gro_receive_skb （net/core/gro.c：633） cpu_map_kthread_run （kernel/bpf/cpumap.c：395） kthread （kernel/kthread.c：436） ret_from_fork （arch/x86/kernel/process.c：164） ret_from_fork_asm （arch/x86/entry/entry_64.S：255） 内核错误 - 不同步： KASAN： panic_on_warn set ...（CVE-2026-81002）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86/amd/pmc：传播 SMU 错误并验证 S2D 地址 amd_stb_s2d_init（） 丢弃多个 S2D SMU 命令的返回值。当 SMU 拒绝命令时（例如 SMU cmd failed. err： 0xff），系统只会间接注意到该失败（如果有），并报告为 -EIO，掩盖了真正的错误。更严重的是，S2D_PHYS_ADDR_LOW/HIGH 返回值会遭到忽略，因此在发生失败时，phys_addr_low/hi 会保持未初始化状态，而组装的地址会直接传送至 devm_ioremap（）。当 SMU 将其保留为零时，这会映射物理地址 0 并触发 ioremap-on-RAM 警告：amd_pmc AMDI000B：00：SMU cmd 失败。err： 0xff ioremap on RAM at 0x0000000000000000 - 0x0000000000ffffff WARNING： CPU： 13 PID： 4592 at arch/x86/mm/ioremap.c：... 检查并传播每个 SMU 命令的返回值，并在调用 devm_ioremap（） 之前拒绝零物理地址。（CVE-2026-81016）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - slip：修复 sl_sync（） 中的释放后使用 slip_devs[] 存储裸net_device指针，不对其进行引用。sl_sync（） 和 sl_alloc（） 从rtnl_lock（） 下的 slip_open（） 遍历该表，同时 sl_free_netdev（） 丢弃一个条目，sl_setup（） 会作为 dev->priv_destructor 安装。priv_destructor 从 netdev_run_todo（） 调用，后者故意在释放 RTNL 信号量的情况下运行，以便在等待设备 refcount 终止时休眠： /* 快照列表，允许后续请求 */ list_replace_init（&net_todo_list， &list）;__rtnl_unlock（）;...if （dev->priv_destructor） dev->priv_destructor（dev）;/* slip_devs[i] = NULL */ if （dev->needs_free_netdev） free_netdev（dev）;... /* 释放网络设备 */ kobject_put（&dev->dev.kobj）;因此，rtnl_lock（） 根本不会针对拆卸序列化 slip_open（）。sl_sync（） 可以在条目仍在发布时加载 slip_devs[i]，并在 netdev_run_todo（） 运行析构函数并释放设备后取消引用该条目：CPU0 （slip_open） CPU1 （slip_close） unregister_netdev（） rtnl_unlock（） netdev_run_todo（） __rtnl_unlock（） rtnl_lock（） sl_sync（） dev = slip_devs[i] priv_destructor（dev） slip_devs[i] = NULL kobject_put（&dev->dev.kobj） /* dev 已释放 */ sl = netdev_priv（dev） if （sl->tty || sl->leased） /*释放后使用 */ 缺陷：KASAN：sl_sync drivers/net/slip/slip.c：730 中的释放后使用 [内联] 缺陷：KASAN：slip_open+0xef4/0x1210 drivers/net/slip/slip.c：806 中的释放后使用 在 addr ffff8880712dac71 的大小为 1 的读取 按任务 syz-executor.2/6506 CPU：2 PID：6506 Comm：syz-executor.2 未受感染 6.1.134-syzkaller-00260-g0c8fc3469765 #0 硬件名称：QEMU Standard PC （i440FX + PIIX， 1996），BIOS 1.12.0-1 2014 年 4 月 1 日调用跟踪：sl_sync drivers/net/slip/slip.c：730 [内联] slip_open+0xef4/0x1210 drivers/net/slip/slip.c：806 tty_ldisc_open+0xa2/0x120 drivers/tty/tty_ldisc.c：433 tty_set_ldisc+0x324/0x720 drivers/tty/tty_ldisc.c：564 tiocsetd drivers/tty/tty_io.c：2428 [内联] tty_ioctl+0x5f0/0x1530 drivers/tty/tty_io.c：2712 按任务 6502 分配： alloc_netdev_mqs+0x98/0xfe0 net/core/dev.c：10719 sl_alloc drivers/net/slip/slip.c：756 [内联] slip_open+0x36d/0x1210 drivers/net/slip/slip.c：817 tty_ldisc_open+0xa2/0x120 drivers/tty/tty_ldisc.c：433 tty_set_ldisc+0x324/0x720 drivers/tty/tty_ldisc.c：564 由任务 6497 释放：device_release+0xa2/0x240 drivers/base/core.c：2507 kobject_put+0x179/0x280 lib/kobject.c：729 netdev_run_todo+0x6c8/0xef0 net/core/dev.c：10509 slip_close+0x166/0x1c0 drivers/net/slip/slip.c：906 tty_ldisc_close+0x113/0x1a0 drivers/tty/tty_ldisc.c：456 tty_ldisc_kill+0x94/0x160 drivers/tty/tty_ldisc.c：614 tty_ldisc_release+0xe3/0x2b0 drivers/tty/tty_ldisc.c：782 tty_release+0xbcc/0xe70 drivers/tty/tty_io.c：1860 提交 e58c19124189 （slip：
    修复释放后使用 slip_open） 中的读取 修复了过时条目的不同来源（注册错误路径中 slip_open（） 将其释放后留下 slip_devs[] 的设备），并且没有解决此争用，这就是报告幸免于难的原因。请改为从 ndo_uninit 中丢弃该条目。在设备排队到 netdev_run_todo（） 之前，unregister_netdevice（） 会在 RTNL 下调用 ndo_uninit，因此 sl_sync（） 在保留 RTNL 的同时仍能看到的条目属于在丢弃 RTNL 之前无法释放的设备。
    sl_free_netdev（） 仅保留 slip_open（） 错误路径，其中 register_netdevice（） 可能在ndo_init之前失败，然后也不会调用 ndo_uninit。为同一设备运行两者是无害的：
    这 ---truncated--- （CVE-2026-81001）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fbdev：omapfb：panel-dsi-cm：注册 display 前初始化锁定 dsicm_probe（） 在初始化 ddata->lock 之前注册显示器。omapdss_register_display（） 发布显示后，另一个使用者可访问 dsicm 回调，该回调会在该互斥体仍未初始化时获取该互斥体。在注册显示之前初始化互斥体，以便已发布的回调始终看到有效的锁定。（CVE-2026-89599）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - lib/ucs2_string.c：修复 ucs2_strnlen（） 修补程序系列中的越界读取 lib/ucs2_string.c：修复 ucs2_strnlen（） v2 中的越界读取。该系列修复 ucs2_strnlen（） 中的差一越界读取。
    第一个补丁是真正的补丁，第二个补丁作为奖励提供并修复代码缩进。此修补程序（共 2 个）：ucs2_strnlen（） 在检查是否已达到调用程序提供的最大长度之前检查当前字符。如果输入在该边界内不是以 NUL 终止，则循环可读取超出限制的一个ucs2_char_t。在取消引用之前测试长度以防止差一越界读取。（CVE-2026-89726）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sunrpc：路由到 svc_pool_for_cpu（） 中的填充池 svc_set_num_threads（） 将请求的线程均匀分布在服务的池中 （base = nrservs / sv_nrpools）。当服务运行的线程少于其拥有池的线程时（例如，配置的 nfsd 在 pernode 或 percpu 模式下运行时拥有的 NUMA 节点少于主机的线程），则尾部池将完全没有线程。svc_xprt_enqueue（） 从为传输提供服务的 CPU 中选择一个池，在该池的sp_xprts上将传输排队，并且仅唤醒同一池中的线程。每个线程都专门为自己的池提供服务，因此登陆无线程池的传输会在sp_xprts上排队并且永远不会被选取：连接无限期地挂起。
    让 svc_pool_for_cpu（） 跳过当前没有线程的池，回退到下一个填充的池。这用 NUMA 位置换取了工作得到实际服务的保证。sp_nrthreads仅在服务互斥体下更新;此处的无锁读取是尽力路由提示，因此请使用 data_race（） 对其进行注解。（CVE-2026-89549）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2：cluster：在 o2hb_region_pin（） 补丁系列中按住 o2hb_live_lock 时不会休眠 ocfs2：
    cluster：o2hb_region_pin（） 补丁，v2。该系列修复了 o2hb_region_pin（） 中的三个相关问题，均来自提交中的原始实现：58a3158a5d17（ocfs2/cluster：固定/取消固定 o2hb 区域）：1） 它通过保持o2hb_live_lock（旋转锁）进行调用，但底层 configfs_depend_item（） 保持睡眠（获取 inode rwsem 并固定文件系统）。这会触发CONFIG_DEBUG_ATOMIC_SLEEP下的缺陷。2） 从 configfs drop_item 回调调用时，它会创建锁定顺序反转：父项inode_lock -> configfs 根inode_lock，从而可针对获取 root -> 父项的子系统取消注册路径进行死锁。
    3） 如果通过 o2hb_region_inc_user（） 部分解锁失败，则会泄漏 o2hb_dependent_users 计数器，并且永远不会释放部分固定的区域，从而使心跳信息区域在后续挂载中不受保护。
    修补程序 1 重构了 o2hb_region_pin（），以丢弃每个休眠 configfs_depend_item（） 调用中的o2hb_live_lock，并使用 config_item 引用在解锁时保持区域活动。修补程序 2 添加了一个 from_callback 参数，以便在从 configfs 上下文调用时选择 configfs_depend_item_unlocked（），从而避免inode_lock嵌套。修补程序 3 修复了 o2hb_region_inc_user（） 中的错误路径，以在失败时取消固定和递减计数器。此修补程序（共 3 个）：o2hb_region_pin（） 始终在保留o2hb_live_lock自旋锁的情况下调用（从 o2hb_region_inc_user（） 和 o2hb_heartbeat_group_drop_item（）），但它调用 o2nm_depend_item（）
    -> configfs_depend_item（），它休眠：它固定 configfs 文件系统并获取 configfs 根 inode rwsem。在CONFIG_DEBUG_ATOMIC_SLEEP下，这会触发：缺陷：kernel/locking/rwsem.c 的无效上下文调用休眠函数 in_atomic（）： 1， ...名称：mount.ocfs2 down_write configfs_depend_item o2hb_region_pin o2hb_region_inc_user o2hb_register_callback dlm_register_domain_handlers ...
    ocfs2_dlm_init ocfs2_mount_volume ocfs2_fill_super 重做 o2hb_region_pin（） 以一次固定一个区域，同时在休眠调用中丢弃锁定：在o2hb_live_lock下找到下一个符合条件的区域并获取config_item引用以使其保持活动状态，放下锁定，调用 o2nm_depend_item（），然后重新锁定并记录 pin。config_item_put（） 也会在释放锁定的情况下完成，因为 o2hb_region_release（） 也会获取o2hb_live_lock并可以休眠。区域列表在解锁时可能会更改，因此扫描在每个引脚后从顶部重新开始。本地心跳信息仍仅固定匹配区域;全局心跳信息会固定所有符合条件的区域。取消固定路径不受影响：configfs_undepend_item（） 仅采用旋转锁，不会休眠。（CVE-2026-89491）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/chrome：sensorhub：绑定 EC 报告的传感器编号 每个 EC FIFO 事件都带有一个 8 位传感器编号（>sensor_num内）。cros_ec_sensorhub_ring_handler（） 验证 FIFO 事件计数、每次读取计数和环界，但不验证传感器编号，然后cros_ec_sensor_ring_process_event（） 使用未检查的传感器编号来索引 sensorhub->batch_state[] - 仅分配 sensorhub->sensor_num 条目。传感器编号为 sensor_num 或更大时为越界读取和写入 batch_state[]。验证环处理程序中的传感器编号（每个事件均可从 EC 读取），并在使用前终止格式错误的事件。（CVE-2026-81017）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：sony：修复驱动程序取消绑定时的 ghl_poke_timer / ghl_urb 的 UAF 对于 GHL （Guitar Hero Live） 加密狗，sony_probe（） 布防一个周期性定时器：ghl_magic_poke（）（定时器回调）提交 sc->ghl_urb，而 URB 完成 ghl_magic_poke_cb（） 通过 mod_timer（） 重新布防定时器。sony_remove（） 使用 timer_delete_sync（） 耗尽定时器，然后使用 usb_free_urb（） 释放 URB：timer_delete_sync（&sc->ghl_poke_timer）;
    usb_free_urb（sc->ghl_urb）;timer_delete_sync（） 不会阻止重新布防，并且当 URB 正在运行时计时器未待定，因此同步删除不会执行。在删除后运行的 URB 完成将重新布防计时器，并且 usb_free_urb（） 仅丢弃一个引用，而不会终止正在运行的 URB。SC 会使用 devm_kzalloc（） 分配，并在 sony_remove（） 返回时释放，因此重新布防的 ghl_poke_timer（嵌入在 sc 中）随后会在释放的内存上触发，即来自计时器 softirq 的释放后使用。这是断开连接/rmmod 争用。先使 URB 中毒，然后关闭定时器，然后再释放 URB。
    usb_poison_urb（） 会终止任何正在运行的 URB 并永久拒绝进一步的提交，因此仍然待定的 poke 计时器无法在 timer_shutdown_sync（） 运行之前从窗口中的 ghl_magic_poke（） 重新提交 URB。usb_kill_urb（） 是不够的：它只会取消正在运行的 URB，并在返回后使其保持可提交状态，因此待定计时器可以重新提交它，并在释放的 sc 上放置新的 URB。
    然后，timer_shutdown_sync（） 耗尽所有最后的回调并阻止重新布防。探测错误路径不受影响：仅在计时器布防之前到达该路径。在 next-20260710 上通过 GHL PS4 加密狗的 dummy_hcd + raw-gadget 仿真在 KASAN 下重现（VID 0x1430 / PID 0x07bb）：hid-sony 绑定并布防 poke 计时器，poke URB 保持在飞行中，驱动程序未绑定（释放 sc），然后释放 URB。完成会在释放的 sc 上重新布防计时器，重新布防的定时器会在 ~8 秒后触发：缺陷：
    KASAN：ghl_magic_poke+0x98/0xb0 中的释放后使用 在地址 ffff88810b02fd50 处的大小为 8 的任务读取 swapper/0/0 ghl_magic_poke+0x98/0xb0 call_timer_fn+0x35/0x2b0 __run_timers+0x69c/0x9a0 run_timer_softirq+0x173/0x2a0 按任务分配 169：sony_probe 由任务 338 释放：devres_release_group <- hid_device_remove （sony_remove） 在 0 秒 （https://0sec.ai），利用自动化源分析方法。
    (CVE-2026-89625)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ecryptfs：将数据包设置的缓冲区大小传递到解析器 ecryptfs_parse_packet_set（） 会收到文件标头的指针，但它会从 PAGE_SIZE 到 8 计算剩余的数据包缓冲区大小。对于版本 1 标头，数据包集在标头中开始的后面，因此这可夸大可用缓冲区。传递调用方的实际数据包集缓冲区长度，并从该缓冲区中的剩余字节计算每个数据包的限制。在解析以下标签 11 数据包之前，重新计算消耗标签 3 数据包后的剩余长度。（CVE-2026-89608）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SUNRPC：等待正在传输的客户端 TLS 握手回调 xs_tls_handshake_sync（） 在提交握手请求之前为xs_tls_handshake_done（） 提供对较低传输的引用。在超时或发出信号时，同步等待程序在调用 tls_handshake_cancel（） 后终止该引用。
    handshake_req_cancel（） 在 handshake_complete（） 已将请求标记为完成时返回 false。在这种情况下，完成回调仍然可以运行，因此在 waiter 中删除回调拥有的引用可以在 xs_tls_handshake_done（） 存储xprt_err或丢弃自己的引用之前释放较低的传输。如果取消无法完成，请等到 xs_tls_handshake_done（） 发出handshake_done信号，然后让回调释放其引用。这反映了服务器端握手生命周期处理，并保持超时或信号返回值不变。（CVE-2026-89536）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipv6：rpl：修复 ipv6_rpl_srh_rcv（） 中 idev 的空取消引用 ipv6_rpl_srh_rcv（） 取消引用 idev
    读取 idev->cnf.rpl_seg_enabled 时无空检查的 __in6_dev_get（）。当设备的 MTU 低于 IPV6_MIN_MTU 时，addrconf_ifdown（） 会通过 RCU_INIT_POINTER（） 清除 dev->ip6_ptr。在 ip6_rcv_core（） 中通过 idev 检查的数据包随后可到达 dev->ip6_ptr 已为 NULL 的 ipv6_rpl_srh_rcv（）。
    通过在 1500 到 1200 之间抖动其 MTU 时，用 ping6 流量淹没接收接口来重现：缺陷：KASAN：ipv6_rpl_srh_rcv+0xb3/0x1070 中的 null-ptr-deref 任务 ping6/394 在地址 000000000000006b4 处读取大小为 4 CPU：2 UID：0 PID：394 Comm：ping6 未受感染 7.2.0-rc7-micro-vm-dev-00095-g24ef02f934ee #240 PREEMPT（full） 调用跟踪： <IRQ> kasan_report+0xc6/0x100 ipv6_rpl_srh_rcv+0xb3/0x1070 ip6_protocol_deliver_rcu+0x759/0x9a0 ip6_input_finish+0xa8/0x1b0 ip6_input+0xe1/0x490 ipv6_rcv+0x33d/0x460 __netif_receive_skb_one_core+0xd6/0x130 process_backlog+0x2cc/0xa00 __napi_poll.constprop.0+0x56/0x270 net_rx_action+0x327/0x730 handle_softirqs+0x11e/0x630 do_softirq+0xb3/0xf0 </IRQ> ipv6_rpl_srh_rcv（） 和 ipv6_srh_rcv（） 都只能从 ipv6_rthdr_rcv（） 调用， 其已经具有 IDEV 查找。通过在调用任一函数之前检查 ipv6_rthdr_rcv（） 中的 idev，修复 RPL 路径上的空取消引用。被调用方将 idev 作为参数并且不再调用 __in6_dev_get（），因此数据包现在会在一个位置被丢弃，并在两个路径中都有SKB_DROP_REASON_IPV6DISABLED。（CVE-2026-89561）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：修复nfsd4_alloc_layout_stateid中因争用委派而nfsd4_alloc_layout_stateid在不保留fi_lock的情况下读取 FP->fi_deleg_file 的委派时的BUG_ON。通过 laundromat 的并发委派撤消可清除 fi_lock 下的fi_deleg_file，从而导致 nfsd_file_get（） 返回 NULL 并触发BUG_ON。此争用可由客户端访问：两个 NFS 客户端可触发此争用，方法是让一个客户端保留委派，而另一个客户端打开相同文件以强制恢复。当第一个客户没有回应召回时，自助洗衣店会撤消它。来自任何使用委派 stateid 的客户端的并发 LAYOUTGET 进入争用窗口。通过对 SC_TYPE_DELEG 路径中读取的fi_deleg_file进行fi_lock，匹配 find_any_file（） arm 的锁定规则，然后将BUG_ON替换为可清除部分初始化布局 stateid 的正常错误返回，从而修复此问题。（CVE-2026-89686）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - forcedeth：修复保存/恢复非 PCI 配置空间时的差一问题 nv_suspend（） 和 nv_resume（） 使用 for （i = 0; i <= np->register_size/sizeof（u32）; i++） 遍历非 PCI 配置空间，会运行过多次迭代。saved_config_space声明为 u32 saved_config_space[NV_PCI_REGSZ_MAX/4];NV_PCI_REGSZ_VER3等于 NV_PCI_REGSZ_MAX （0x604），因此在 VER3 设备上 register_size/sizeof（u32） 正好是数组长度，最后一次迭代处理末尾之后的一个元素。它所在的元素是 np->name_rx[0..3]： saved_config_space[] 紧接着是 char name_rx[IFNAMSIZ + 3]，并且 char 不需要填充。没有任何可观察到的内容因此而损坏，因为 nv_request_irq（） 在将name_rx传递给 request_irq（） 之前就用 sprintf（） 重写了它。该缺陷是越界访问本身，UBSAN 报告后 CONFIG_UBSAN_TRAP=y 会变成陷阱，中止正在运行的内核代码，以及 MMIO 读取和恢复时对 base + 0x604 的 MMIO writel（），超出驱动程序映射的范围一个 dword：np->base = ioremap（addr， np->register_size）;VER1 和 VER2 设备保留在数组内，但它们也会通过自己的窗口获得杂散读取和杂散写入一个 dword。在深度 S3 周期期间被 Apple Macmini3,1 （MCP79） 上的 UBSAN 捕获。修剪了下面的崩溃：文件名中的构建路径、CPU 和感染行、工作队列行、？提示帧，device_suspend下面的帧全部被剪切。内核被污染了，带有一种新树和CPU_OUT_OF_SPEC;forcedeth 本身就是库存模块。UBSAN： array-index-out-of-bounds 在 drivers/net/ethernet/nvidia/forcedeth.c：6225：25 中，索引 385 超出了“u32 [385]”类型的范围 调用跟踪：dump_stack_lvl+0x5d/0x80 ubsan_epilogue+0x5/0x2b
    __ubsan_handle_out_of_bounds.cold+0x54/0x59 __this_module+0xe398c/0xe9010 [forcedeth] pci_pm_suspend+0x80/0x170 dpm_run_callback+0x51/0x160 device_suspend+0x1a2/0x4a0 ... 两个循环都被命中。
    UBSAN 每次模块加载时仅报告每个源位置一次（__ubsan_handle_out_of_bounds（） 调用 suppress_report（），后者会在结构source_location上test_and_set_bit（REPORTED_BIT， ...），因此加载模块后的第一个 S3 周期会发生两个 splat，并且随后的周期保持静默，即使每次访问仍然从末端运行。在第一个周期中，第 6225 行从 pci_pm_suspend 报告，第 6240 行从 pci_pm_resume 报告。2012 年，通过提交 ba9aa134287f（forcedeth：修复缓冲区溢出）修复了 nv_get_regs（） 中的相同差一错误;缺少这两个循环。Marc Weber 于 2013 年 9 月在 LKML 上报告了暂停和恢复端，其中包含了相同的分析和相同的一字符补丁，但修补程序被附加而非内联发送，因此线程到此结束。使用 < 而非 <=，这可以节省和恢复正好 register_size 个字节。（CVE-2026-89596）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mfd：qnap-mcu：在命令超时后保持回复缓冲区活动 qnap_mcu_exec（） 向接收路径发布堆栈上的缓冲区：unsigned char rx[QNAP_MCU_RX_BUFFER_SIZE];...回复 >data = rx;reply->length = 长度;qnap_mcu_receive_buf（） 从 serdev 接收路径写入其中，该路径耗尽了 flush_to_ldisc（） 并且完全不会针对 qnap_mcu_exec（） 进行序列化。bus_lock无法覆盖它，因为 qnap_mcu_exec（） 跨 wait_for_completion_timeout（） 保留该互斥体。超时时，qnap_mcu_exec（） 返回时 reply->data 仍指向自己的帧。然后，迟到的回复或来自 MCU 的未经请求的消息会被写入剩下的堆栈帧，从而损坏该堆栈上接下来运行的任何内容。当 qnap_mcu_write（） 失败时，这同样适用，因为该路径也不会触及回复状态而返回。将接收缓冲区移动至 struct qnap_mcu。它有 37 个字节，并且结构是 devm_kzalloc（） 处理的，因此它的有效期与驱动程序一样长，并且延迟写入到仍然有效并由下一个命令重新初始化的内存中。bus_lock阻止命令共享它。这故意不清除超时路径中的 reply->data 或 reply->length。这样做会与 qnap_mcu_receive_buf（） 争用，后者在其 if （！reply->length） 返回大小之后读取两者;check：清除 reply->data 会造成空取消引用，单独清除 reply->length 会删除 reply->received == reply->length 退出条件，因此复制循环一直运行，直到消耗完 uart 区块并溢出缓冲区。保留这两个集合会保持写入受 reply->length 限制，qnap_mcu_exec（） 已根据 sizeof（mcu->rx） 进行检查。
    (CVE-2026-80975)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PCI：plda：修复拆卸期间事件 IRQ 的释放后使用 plda_pcie_irq_domain_deinit（） 通过 irq_domain_remove（） 删除 pcie->event_domain，但是使用 plda_init_interrupts（） 中的 devm_request_irq（） 请求从该域映射的每个事件 IRQ。devres 会延迟对 devm 管理的 IRQ 的实际free_irq（），直到调用 probe（）/remove（） 函数返回之后。这意味着 irq_domain_remove（） 可以在仍映射到域中的 IRQ 的延迟 free_irq（） 运行之前释放域的内部数据。当 devre 稍后处理延迟清理时，终止会取消引用已释放的域。删除域之前，先使用 devm_free_irq（） 明确释放每个事件 IRQ。这样会立即触发释放并将 IRQ 从 devres 跟踪列表中删除，所以 devres 之后不会尝试第二次释放它。还要在删除事件、INTx 和 MSI IRQ 映射与 irq_dispose_mapping（） 之前，再删除它们拥有的域。最后，保护对 pcie->irq、pcie->msi_irq 和 pcie->intx_irq 的 irq_set_chained_handler_and_data（） 调用，使其仅在这些字段持有有效 （>0） IRQ 编号时运行。这是一个预先存在的问题，在开发与此驱动程序不相关的较早修补程序期间自动审查会标记此问题。在 StarFive VisionFive v1.2A 板 （CVE-2026-89455） 上经过构建测试和启动测试

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86/amd/pmc：修复 STB init 失败时的 LPS0 和 debugfs 泄漏 amd_pmc_probe（） 通过 acpi_register_lps0_dev（） 注册 LPS0 s2idle 处理程序并在调用 amd_stb_s2d_init（） 之前创建驱动程序的 debugfs 目录，这是探测中可能失败的最后一步。当 amd_stb_s2d_init（） 失败时（例如，无法在长时间运行的系统上对 S2D 遥测区域进行 ioremap，或者 SMU 拒绝 S2D 设置），错误路径仅调用 pci_dev_put（） 并返回。这会将amd_pmc_s2idle_dev_ops留在全局lps0_s2idle_devops_head列表中并泄露 debugfs 目录，同时停止支持处理程序的 devm 管理的资源。重新加载模块随后遍历 acpi_register_lps0_dev（） 中的损坏列表并命中：list_add损坏。next->prev 应为 prev，但为空。lib/list_debug.c：29！ 的内核缺陷acpi_register_lps0_dev+0x44/0x80 amd_pmc_probe+0x224/0x380 [amd_pmc] platform_probe+0x67/0x90 即使没有重新加载，过时注册也意味着下一个 s2idle 转换会调用拆散的驱动程序状态。展开 debugfs 目录和 amd_stb_s2d_init（） 错误路径上的 LPS0 注册。在这里无条件调用 acpi_unregister_lps0_dev（） 是安全的：它受到与 acpi_register_lps0_dev（） 相同的保护条件，而这正是 amd_pmc_remove（） 已经依赖的。（CVE-2026-81015）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2：始终在写入时复制完成时运行 deallocs 本地 6.12.94 模糊测试发现以下因在同一文件系统中执行“copy_file_range（）”而造成的内存泄漏：未引用的对象0xffff88812192c980（大小 32）：comm syz.0.49，pid 12095，jiffies 4294964143 hex 转储（前 32 字节）：00 00 00 00 00 00 00 00 08 00 00 00 00 00 00 00 ................c0 c5 92 21 81 88 ff ff 00 02 00 00 00 06 00 00 ...！............回溯 （CRC 7068d63f）：kmemleak_alloc_recursive include/linux/kmemleak.h：42 [内联] slab_post_alloc_hook mm/slub.c：4152 [内联] slab_alloc_node mm/slub.c：4197 [内联]
    __kmalloc_cache_noprof+0x168/0x2c0 mm/slub.c：4358 kmalloc_noprof include/linux/slab.h：878 [内联] ocfs2_find_per_slot_free_list fs/ocfs2/alloc.c：6618 [内联] ocfs2_cache_block_dealloc+0x155/0x4b0 fs/ocfs2/alloc.c：6786 ocfs2_cache_extent_block_free fs/ocfs2/alloc.c：6819 [内联] ocfs2_unlink_path+0x286/0x450 fs/ocfs2/alloc.c：2613 ocfs2_rotate_subtree_left fs/ocfs2/alloc.c：2779 [内联] __ocfs2_rotate_tree_left+0x1f6f/0x2da0 fs/ocfs2/alloc.c：2985 ocfs2_rotate_tree_left+0x283/0xe00 fs/ocfs2/alloc.c：3237 ocfs2_try_to_merge_extent+0xf56/0x1a20 fs/ocfs2/alloc.c：3825 ocfs2_split_extent+0x15f4/0x2940 fs/ocfs2/alloc.c：5138 ocfs2_clear_ext_refcount+0x2f6/0x550 fs/ocfs2/refcounttree.c：3098 ocfs2_replace_clusters fs/ocfs2/refcounttree.c：3131 [内联] ocfs2_make_clusters_writable fs/ocfs2/refcounttree.c：3255 [内联] ocfs2_replace_cow+0x991/0x1660 fs/ocfs2/refcounttree.c：3349 ocfs2_refcount_cow_hunk fs/ocfs2/refcounttree.c：3427 [内联] ocfs2_refcount_cow+0x5e1/0x9f0 fs/ocfs2/refcounttree.c：3470 ocfs2_prepare_inode_for_write fs/ocfs2/file.c：2340 [内联] ocfs2_file_write_iter+0xbda/0x1880 fs/ocfs2/file.c：2451 iter_file_splice_write+0x890/0xf60 fs/splice.c：743 do_splice_from fs/splice.c：944 [内联] direct_splice_actor+0x232/0x480 fs/splice.c：1167 splice_direct_to_actor+0x4b4/0xb60 fs/splice.c：1111 do_splice_direct_actor fs/splice.c：1210 [内联] do_splice_Direct+0x10f/0x1c0 fs/splice.c：1236 do_sendfile+0x430/0xbf0 fs/read_write.c：1388 未引用对象0xffff88812192c5c0（大小 32）： comm syz.0.49，pid 12095，jiffies 4294964143 hex 转储（前 32 字节）：00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................29 70 00 00 00 00 00 00 19 00 00 00 00 00 00 00 ）p..............回溯 （CRC afec850f）：kmemleak_alloc_recursive include/linux/kmemleak.h：42 [内联] slab_post_alloc_hook mm/slub.c：4152 [内联] slab_alloc_node mm/slub.c：4197 [内联] __kmalloc_cache_noprof+0x168/0x2c0 mm/slub.c：4358 kmalloc_noprof include/linux/slab.h：878 [内联] kzalloc_noprof include/linux/slab.h：1014 [内联] ocfs2_cache_block_dealloc+0x25c/0x4b0 fs/ocfs2/alloc.c：6793 ocfs2_cache_extent_block_free fs/ocfs2/alloc.c：6819 [内联] ocfs2_unlink_path+0x286/0x450 fs/ocfs2/alloc.c：2613 ocfs2_rotate_subtree_left fs/ocfs2/alloc.c：2779 [内联] __ocfs2_rotate_tree_left+0x1f6f/0x2da0 fs/ocfs2/alloc.c：2985 ocfs2_rotate_tree_left+0x283/0xe00 fs/ocfs2/alloc.c：3237 ocfs2_try_to_merge_extent+0xf56/0x1a20 fs/ocfs2/alloc.c：3825 ocfs2_split_extent+0x15f4/0x2940 fs/ocfs2/alloc.c：5138 ocfs2_clear_ext_refcount+0x2f6/0x550 fs/ocfs2/refcounttree.c：3098 ocfs2_replace_clusters fs/ocfs2/refcounttree.c：3131 [内联] ocfs2_make_clusters_writable fs/ocfs2/refcounttree.c：3255 [内联] ocfs2_replace_cow+0x991/0x1660 fs/ocfs2/refcounttree.c：3349 ocfs2_refcount_cow_hunk fs/ocfs2/refcounttree.c：3427 [内联] ocfs2_refcount_cow+0x5e1/0x9f0 fs/ocfs2/refcounttree.c：3470 ocfs2_prepare_inode_for_write fs/ocfs2/file.c：2340 [内联] ocfs2_file_write_iter+0xbda/0x1880 fs/ocfs2/file.c：2451 iter_file_splice_write+0x890/0xf60 fs/splice.c：743 do_splice_from fs/splice.c：9 ---truncated--- （CVE-2026-89496）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：ISST：验证 perf 掩码 ioctls 中的级别 isst_if_get_perf_level_mask（） 和 isst_if_get_base_freq_mask（） 使用用户提供的级别作为 via 的 perf_levels[] 索引
    _read_pp_level_info（） 和 _read_bf_level_info（），但两个辅助函数都不会先对其进行验证。相邻的电平信息帮助程序在读取相同的每级寄存器块之前拒绝高于 max_level 的电平。向掩码帮助程序添加相同的边界检查，并拒绝 isst_if_get_perf_level_mask（） 中禁用的 SST-PP 级别以匹配 isst_if_get_perf_level_info（）。这可防止针对无效 ioctl 输入的每级偏移表进行越界读取。（CVE-2026-89443）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：aloop：探测时检查卡索引有效性 aloop 驱动程序盲目地相信探测时给定的 devptr->id 值在正确的卡索引范围内。对于驱动程序本身在模块探测时创建的设备来说没有问题，但如果设备通过 sysfs 接口手动绑定，则此情况可能为 -1 为无，这会导致对 index[] 和其他参数的 OOB 访问。添加卡片索引的健全性检查，如果其值超出范围则警告/更正。（CVE-2026-80972）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ring-buffer：修复 subbuf 与 ring_buffer_alloc_read_page（） 的大小争用 ring_buffer_alloc_read_page（） 与ring_buffer_subbuf_order_set争用，其可以过时的顺序分配阅读器页面。这不是什么大问题，用户仍然可以重新分配新的读者页面并重试。然而，更成问题的是，如果 subbuf_order 的值在 ring_buffer_alloc_read_page（） 中间发生变化。在这种情况下，bpage->order 可能与实际分配的内存不匹配。使用 bpage->order 进行分配以防止此争用。（CVE-2026-89503）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/smc：修复 smc_rx_pipe_buf_release（） 中的释放后使用 smc_rx_splice（） 将 RMB 页面交给管道，并且每个条目采用一个套接字引用，这样 smc_sock 会一直处于活动状态直到阅读器完成。连接不会：并发关闭运行 smc_conn_free（），它将接收缓冲区释放回链接组池。smc_rx_pipe_buf_release（） 在进行套接字锁定之前测试sk_state。状态可在测试和锁定之间变化，然后 smc_rx_update_cons（） 取消引用 conn->rmb_desc 并遍历 conn->lgr，而 smc_conn_free（） 已发布此操作。在is_reg_err路径中，smcr_buf_unuse（） 会完全释放描述符，因此这是释放后使用。首先采用套接字锁定，然后改为测试 conn->freed。
    smc_conn_free（） 在释放任何内容之前设置该标记，并且每个调用程序都持有套接字锁。这两条路径相互排除：管道版本首先运行所有内容都有效，或者它看到标志并跳过更新。（CVE-2026-80982）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ecryptfs：发送失败时释放消息上下文 ecryptfs_send_message_locked（） 在将请求发送到用户空间后台程序之前，将消息上下文从空闲列表移动到分配列表。如果 ecryptfs_send_miscdev（） 失败，上下文将保留在分配列表中且无法重用。失败时将其移回空闲列表，并清除调用方的指针。（CVE-2026-89605）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSv4.1：修复 pnfs_layout_process（） 忘记路径中的布局段泄漏 当服务器返回仍保留有效布局 stateid 时，pnfs_layout_process（） 会在堆栈上的free_me列表中调用 pnfs_mark_matching_lsegs_return（） 并跳至out_forget。引用计数降至零的段将从 lo->plh_segs 中断开链接，并通过 mark_lseg_invalid（） 移动到free_me;
    对于空闲缓存段，布局标头持有唯一的引用，因此这发生在第一个递减处。out_forget 从不耗尽free_me -- 仅成功路径调用 pnfs_free_lseg_list（）。提交 814b84971388（pNFS/NFSv4：修复 pnfs_layout_process（）） 中的布局段泄漏。新增了漏;提交 08bd8dbe8882（pNFS/NFSv4：尝试在 pnfs_layout_process（）） 中返回无效布局。在将目标切换到 lo->plh_return_segs 时将其删除，这会在别处耗尽。提交 fb700ef02676（NFSv4.1：简化 pnfs_layout_process（）） 中的布局返回）在不恢复耗尽的情况下将目标切换回free_me。还原 pnfs_free_lseg_list（） 调用。（CVE-2026-89710）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dm raid1：为 build_constructor_string（） 中的 NUL-terminator 预留空间 在长长值的最多 20 位小数后为终止 NUL 预留空间以避免 sprintf（） 中发生缓冲区溢出。
    (CVE-2026-89575)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SUNRPC：修复gssx_dec_option_array错误路径缺陷 gssx XDR 选项数组解码器中有四个耦合缺陷导致错误路径不安全：调用程序中的空取消引用、解码group_info中的引用计数泄漏以及泄漏补丁可能暴露的潜在释放后使用。gssx_dec_option_array（） 在分配 oa->data 之前设置 oa->count = 1。如果此分配失败，将返回 -ENOMEM 并返回 oa->count == 1 和 oa->data == NULL。所有其他错误路径跳至 free_oa：这会释放 oa->data 和 NULL，但也会保留 oa->count == 1。调用程序信任计数：gssp_accept_sec_context_upcall（） gssx_dec_accept_sec_context（） gssx_dec_option_array（） /* 失败，count=1 data=NULL */ data = res.options.data[0].value /* 空取消引用 */ 独立，free_creds：释放具有裸 kfree（creds） 的部分解码svc_cred。gssx_dec_linux_creds（） 将 groups_alloc（） 结果安装到 creds->cr_group_info;该对象由 kvmalloc 支持并经过 refcount，并且只有 put_group_info（） 到达 kvfree（）。普通 kfree（creds） 放弃封装程序并泄露group_info分配。修复该泄露的自然方法是在调用 kfree（creds） 之前先调用 free_svc_cred（creds），但 free_svc_cred（） 在非 NULL 时会无条件调用 creds->cr_group_info 上的 put_group_info（）。gssx_dec_linux_creds（） 中的现有 out_free_groups： path 已在该指针上调用 groups_free（） 但未将其清除，因此一旦连接 free_svc_cred（），后续的 put_group_info（） 将接触已释放的内存。同时修复所有四个问题：- 将 oa->count = 1 分配移动到 oa->data 分配下方，以便当 oa->data 为 NULL 时永远不会设置。- free_oa时将 oa->count 重置为 0：这样计数和数据保持连贯，并且调用程序会看到一个空的选项数组。- 在 free_creds 时的 kfree（creds） 之前调用 free_svc_cred（creds），从而释放 refcounted cr_group_info。free_svc_cred（） 要么明确对每个字段进行 NULL 保护（cr_group_info 具有 if（） 检查），要么委派给本身为空安全的帮助程序（字符串字段的 kfree，在 gss_mech_switch.c：342 处使用 if（gm） 进行保护的 gss_mech_put），因此，在仅写入 cr_uid/cr_gid/cr_group_info 且其他内容均为 0 的情况下，调用部分解码的svc_cred是安全的 kzalloc。- 在 gssx_dec_linux_creds（） 的 out_free_groups： 路径中，使用 put_group_info（） 而非 groups_free（） 释放 cr_group_info，以便拆卸符合 free_svc_cred（） 的 refcount 感知路径，并清除该指针，以便后续针对相同 creds 的 free_svc_cred（） 不会再次释放它。（CVE-2026-89544）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipmi：si：修复注册失败后的空指针取消引用 try_smi_init（） 分配 new_smi->si_sm 并在以后调用映射到 ipmi_add_smi（） 的 ipmi_register_smi_mod（）。在 ipmi_add_smi（） 期间，大写 IPMI 消息处理程序通过 __bmc_get_device_id（） 获取初始 BMC 设备信息。如果 BMC 未成功返回对 Get Device ID 命令的响应，此操作可能会失败。当 BMC 返回非零完成代码时，device-id 帮助程序会重试该命令，如果仍无法提取设备 ID，最终会返回 -EIO。在此失败路径上，ipmi_add_smi（） 记录 Unable to get the device id，并转到 out_err_started，在其中调用较低驱动程序的关闭回调。try_smi_init（） 接着会记录返回的注册失败结果： ipmi_si IPI0001：00： IPMI 消息处理程序： 无法取得设备 id： -5 ipmi_si IPI0001：00： 无法注册设备： 错误 -5 对于 ipmi_si，关机回调为 shutdown_smi（），它会清除 SI 状态机数据，释放 smi_info->si_sm，并将 smi_info->si_sm 和 smi_info->intf 设置为 NULL。但是，并未在此注册失败回滚路径上设置 intf->in_shutdown。因此，在较低驱动程序已清除其 SI 状态机数据之后，异步 redo_bmc_reg 工作项仍可重试 BMC 设备 ID 探测。在观察到的情况中，该重试路径到达 start_next_msg（），后者将空smi_info>si_sm指针传递到选定的 KCS 状态机处理程序：
    缺陷：无法处理在 000000000000000000 处的内核空指针取消引用 工作队列：事件redo_bmc_reg [ipmi_msghandler] RIP：start_kcs_transaction+0x2c/0x190 [ipmi_si] 调用跟踪：start_next_msg+0x50/0x80 [ipmi_si] check_start_timer_thread.part.9+0x3b/0x50 [ipmi_si] sender+0x69/0x80 [ipmi_si] i_ipmi_request+0x2ac/0x9d0 [ipmi_msghandler] __get_device_id.isra.29+0xaa/0x180 [ipmi_msghandler]
    __bmc_get_device_id+0xef/0x950 [ipmi_msghandler] redo_bmc_reg+0x52/0x60 [ipmi_msghandler] process_one_work+0x1a7/0x360 调用较低驱动程序的关闭回调之前，先在out_err_started路径中设置 intf->in_shutdown。这阻止了以后的 redo_bmc_reg 重试使用已清除其较低驱动程序状态的接口，并且将相同的关闭状态应用到其他 IPMI 接口。
    (CVE-2026-81005)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dm-pcache：绑定了持久的尾部位置偏移 cache_pos_decode（） 从缓存设备获取持久化key_tail和dirty_tail seg_off，并使用该设备在段内寻址。位于或超过段data_size的seg_off，可由提供设备的人 （CAP_SYS_ADMIN） 控制，读取段数据。拒绝不低于段data_size的解码seg_off。（CVE-2026-80959）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：skbuff：不要接触 skb_tx_error（） 中的共享 zerocopy 状态 skb_tx_error（） 完成 zerocopy uarg 并清除SKBFL_ALL_ZEROCOPY，skb_zcopy_downgrade_managed（） 清除SKBFL_MANAGED_FRAG_REFS。两者都位于每个克隆共享的 skb_shinfo（） 中，而调用程序仅拥有它即将丢弃的引用。通过克隆，它告诉生产者其页面是空闲的，并针对仍在运行的 skb 丢弃SKBFL_SHARED_FRAG。Open vSwitch 通过非最后OVS_ACTION_ATTR_RECIRC达到此目的：clone_execute（） 将 skb_clone（） 发送到 ovs_dp_process_packet（），而 do_execute_actions（） 继续转发原始文件，而 skb_clone（） 不会将碎片私有化 -- skb_orphan_frags（） 会在SKBFL_DONT_ORPHAN提早返回。然后，克隆中的流缺失会从仍在转发的数据包中剥离标记，随后的本地 ESP 传递会在其非私有拥有的碎片上就地解密。对于克隆的 skb，则跳过该限制。未丢失任何内容：一旦对共享数据的最后一个引用消失，skb_release_data（） 将清除 zerocopy 状态。（CVE-2026-80977）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
345247	Linux Distros 未修补的漏洞：CVE-2026-89728	high
345246	Linux Distros 未修补的漏洞：CVE-2026-89698	medium
345245	Linux Distros 未修补的漏洞：CVE-2026-18495	medium
345244	Linux Distros 未修补的漏洞：CVE-2026-89709	high
345243	Linux Distros 未修补的漏洞：CVE-2026-89658	critical
345242	Linux Distros 未修补的漏洞：CVE-2026-89588	high
345241	Linux Distros 未修补的漏洞：CVE-2026-89451	medium
345240	Linux Distros 未修补的漏洞：CVE-2026-89556	high
345239	Linux Distros 未修补的漏洞：CVE-2026-80947	high
345238	Linux Distros 未修补的漏洞：CVE-2026-80942	medium
345237	Linux Distros 未修补的漏洞：CVE-2026-80971	high
345236	Linux Distros 未修补的漏洞：CVE-2026-89767	high
345235	Linux Distros 未修补的漏洞：CVE-2026-89559	high
345234	Linux Distros 未修补的漏洞：CVE-2026-80992	high
345233	Linux Distros 未修补的漏洞：CVE-2026-80948	medium
345232	Linux Distros 未修补的漏洞：CVE-2026-80936	high
345231	Linux Distros 未修补的漏洞：CVE-2026-89644	high
345230	Linux Distros 未修补的漏洞：CVE-2026-89617	high
345229	Linux Distros 未修补的漏洞：CVE-2026-80965	high
345228	Linux Distros 未修补的漏洞：CVE-2026-89444	high
345227	Linux Distros 未修补的漏洞：CVE-2026-90467	medium
345226	Linux Distros 未修补的漏洞：CVE-2026-81002	critical
345225	Linux Distros 未修补的漏洞：CVE-2026-81016	high
345224	Linux Distros 未修补的漏洞：CVE-2026-81001	high
345223	Linux Distros 未修补的漏洞：CVE-2026-89599	high
345222	Linux Distros 未修补的漏洞：CVE-2026-89726	high
345221	Linux Distros 未修补的漏洞：CVE-2026-89549	high
345220	Linux Distros 未修补的漏洞：CVE-2026-89491	medium
345219	Linux Distros 未修补的漏洞：CVE-2026-81017	high
345218	Linux Distros 未修补的漏洞：CVE-2026-89625	high
345217	Linux Distros 未修补的漏洞：CVE-2026-89608	high
345216	Linux Distros 未修补的漏洞：CVE-2026-89536	critical
345215	Linux Distros 未修补的漏洞：CVE-2026-89561	high
345214	Linux Distros 未修补的漏洞：CVE-2026-89686	critical
345213	Linux Distros 未修补的漏洞：CVE-2026-89596	high
345212	Linux Distros 未修补的漏洞：CVE-2026-80975	high
345211	Linux Distros 未修补的漏洞：CVE-2026-89455	high
345210	Linux Distros 未修补的漏洞：CVE-2026-81015	high
345209	Linux Distros 未修补的漏洞：CVE-2026-89496	high
345208	Linux Distros 未修补的漏洞：CVE-2026-89443	high
345207	Linux Distros 未修补的漏洞：CVE-2026-80972	high
345206	Linux Distros 未修补的漏洞：CVE-2026-89503	high
345205	Linux Distros 未修补的漏洞：CVE-2026-80982	high
345204	Linux Distros 未修补的漏洞：CVE-2026-89605	high
345203	Linux Distros 未修补的漏洞：CVE-2026-89710	medium
345202	Linux Distros 未修补的漏洞：CVE-2026-89575	medium
345201	Linux Distros 未修补的漏洞：CVE-2026-89544	high
345200	Linux Distros 未修补的漏洞：CVE-2026-81005	medium
345199	Linux Distros 未修补的漏洞：CVE-2026-80959	high
345198	Linux Distros 未修补的漏洞：CVE-2026-80977	high

检测

Nessus 的 Misc. 系列

high

medium

medium

high

critical

high

medium

high

high

medium

high

high

high

high

medium

high

high

high

high

high

medium

critical

high

high

high

high

high

medium

high

high

high

critical

high

critical

high

high

high

high

high

high

high

high

high

high

medium

medium

high

medium

high

high