Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：hp-bioscfg：修复空密码写入时的堆 OOB 读取 validate_password_input（） 计算 length = strlen（buf） 然后检查 buf[length - 1] 以剥离末尾换行符，而不先检查长度是否为非零。将空字符串（裸\n“”）写入 current_password 或 new_password 会得到长度 == 0，而 buf[length - 1] 会读取 buf[-1]，即保存已复制输入的堆分配之前的一个字节。KASAN 直接确认了这一点：缺陷：KASAN：store_password_instance.constprop.0+0x223/0x2a0 中的 slab-out-of-bound [hp_bioscfg] 在地址 ffff88811bd8da9f 处通过任务 sh/13740 读取大小为 1 的读取...store_password_instance.constprop.0+0x223/0x2a0 [hp_bioscfg] current_password_store+0x14/0x20 [hp_bioscfg] ... 有缺陷的地址位于分配的 8 字节区域右侧 23 字节处 [ffff88811bd8da80， ffff88811bd8da88） 通过 new_password_store 以相同方式再现。执行在错误读取之后继续执行（垃圾字节仅影响长度是否减少 1），因此写入完成并返回成功;这是通过缓冲区的纯信息读取，不是崩溃，但它仍然是越界访问 KASAN 正确标记。当长度为非零时通过仅检查 buf[length - 1] 进行修复。（CVE-2026-81013）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/ionic：在rdma_counter分配中嵌入计数器驱动程序数据 提交 7e53b31acc7f（RDMA/核心：使用 rdma_zalloc_drv_obj（）） 创建和破坏rdma_counter）要求实现计数器操作的驱动程序将结构rdma_counter嵌入驱动程序特定于 struct、通过 INIT_RDMA_OBJ_SIZE 注册其大小并提供counter_init回调。ionic 驱动程序未合并，从而导致 alloc_and_bind（） 中空指针取消引用，因为 rdma_zalloc_drv_obj（） 在未设置 size_rdma_counter 时分配零字节。将 struct ionic_counter 合并到嵌入 struct rdma_counter 的新 struct ionic_rdma_counter中，将 xarray 替换为用于 ID 分配的轻量级 ida，并添加所需的 counter_init 和 INIT_RDMA_OBJ_SIZE 声明。（CVE-2026-89509）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - power：supply：lp8727：修复 lp8727_release_irq（） 中的释放后使用 lp8727_isr_func（）（） 线程化 IRQ 处理程序是唯一通过 schedule_delayed_work（） 武装 pchg->work 的调用程序。lp8727_release_irq（） 当前在释放 IRQ 之前取消工作，因此中间传递的 IRQ 可以通过线程处理程序重新布防工作。.remove 返回后，devm 层会释放 pchg，而 lp8727_delayed_func（） 可能仍在运行并取消引用它。首先释放 IRQ，以便线程处理程序静止且无法再排队工作，然后取消延迟的工作以耗尽最后一代。此问题由内部静态分析工具发现。（CVE-2026-89469）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - power：supply：bq256xx：释放充电器之前耗尽 usb_work USB-PHY 通知程序会usb_work排队，其处理程序会调用 power_supply_changed（bq->charger）。reset devm 操作只会取消注册通知程序，并在电源之前注册，因此 devm 会在操作运行前在展开时释放 bq->charger;
    仍在排队的usb_work随后可以取消引用它。在电源之后注册复位操作，以便在释放电源之前取消注册通知程序并耗尽usb_work。在注册通知程序之前初始化 usb_work 并获取 PHY 引用，以便在供应存在之前无法运行工作线程。通过静态分析发现。（CVE-2026-89474）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smack：修复 smack_file_send_sigiotask（） 中的 cred UAF 检查其他任务的凭据时，必须始终使用客观凭据（->real_cred，通过 __task_cred（） 访问）。禁止访问非当前任务上的 ->cred，除非该任务正在创建或销毁;允许任务在无同步的情况下更改其自身的 ->cred 指针，并且更改 ->cred 应仅影响当前 syscall。smack_file_send_sigiotask（） 会访问这两组凭据：首先是 tsk->cred，然后是
    __task_cred（啧啧）。修复它，始终在此处访问目标凭据。我已经测试此缺陷可导致 KASAN 报告的 smack_file_send_sigiotask（） 中的 struct cred UAF，并且此补丁可阻止争用。（CVE-2026-80928）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSD：防止管理员状态撤消期间客户端释放后使用 stateid 仅保留指向其nfs4_client的裸指针;stateid 引用未对其进行固定。客户端之所以能够存活，仅仅是因为 __destroy_client（） 在 free_client（） 运行前耗尽其 stateid。nfsd4_revoke_states（） 跨 revoke_one_stid（） 丢弃 nn->client_lock，从而取消引用客户端，以撤消 stateid 并读取 clp->cl_minorversion。对已终止锁定进行逐用的拆卸可首先释放客户端。将 cl_rpc_users 固定在 client_lock 下会阻止 DESTROY_CLIENTID 和 EXCHANGE_ID 拆卸，当cl_rpc_users为非零时会拒绝。
    force_expire_client（） 忽略它：一旦等待 cl_rpc_users 达到零，之后的 pin 将被忽略。在client_lock下，跳过cl_time已经为零的客户端 -- force_expire_client（） 在等待前将其清除，否则在放置锁定前固定cl_rpc_users。然后，遍历要么看到过期并跳过，要么及时固定该等待以覆盖撤消。（CVE-2026-89660）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：staging/ipu7：修复探测错误路径上的异步通知程序 UAF isys_register_devices（） 通过 isys_notifier_init（） 注册 V4L2 异步通知程序。如果后续探测步骤（如 isys_fw_log_init（） 失败，isys_probe（） 将跳转到仅调用 isys_unregister_devices（） 的out_cleanup标签。该帮助程序会去除视频设备、子设备、V4L2 设备和媒体设备，但从不取消注册或清理异步通知程序。因此，通知程序会保持在全局notifier_list链中，而 devre 会释放包含的结构ipu7_isys，从而导致列表损坏和下次遍历该列表时的释放后使用。删除路径已通过在调用 isys_unregister_devices（） 之前调用 isys_notifier_cleanup（） 来执行正确的操作。在探测错误路径中镜像此信息，以便在设备拆散之前取消注册和清理通知程序。（CVE-2026-89522）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sunrpc：修复 __rpc_clnt_handle_event 和 __rpc_clnt_remove_pipedir 中的释放后使用 正常客户端创建会通过 rpc_setup_pipedir（），该程序会记录 clnt->pipefs_sb，但
    __rpc_clnt_handle_event（） 直接调用 rpc_setup_pipedir_sb（） 且从不刷新该字段。umount 路径也会在不清除 clnt->pipefs_sb 的情况下删除目录。在延迟 pipefs 挂载或任何重新挂载之后，rpc_clnt_remove_pipedir（） 会将当前超级块与过时的 pipefs_sb 指针进行比较，并跳过清理，留下其 inode 私有数据仍然指向已释放rpc_clnt的 pipefs dentry，导致后续 rpc_info_open（） 或 rpc_show_info（） 调用期间可能出现释放后使用。通过在挂载事件时正确更新 clnt->pipefs_sb并在卸载或失败路径中将其清除来修复此问题。
    (CVE-2026-89543)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - erofs：调整大小时跳过足够大的全局缓冲区z_erofs_gbuf_nrpages仅在每个全局缓冲区增长后才推进。如果在某些缓冲区扩大后大小调整失败，则重试会重新访问这些扩大的缓冲区。重试相同的大小随后返回 -ENOMEM，因为 alloc_pages_bulk（） 没有要添加的页面，未更改的返回值被视为失败。重试中间大小会分配一个小于 gbuf->nrpages 的临时指针数组并复制比数组可以容纳的更多的现有指针。跳过已经满足请求的缓冲区。当所有剩余的缓冲区都赶上后，推进z_erofs_gbuf_nrpages再次描述整个池的保证最小大小。
    (CVE-2026-89602)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：当计算的位图达到U32_MAX回退情况时，加强 32 位内核 bloom_map_alloc（） 上的 bloom 过滤器大小调整和索引有两个 32 位特定问题。首先，使用 32 位算术对 BITS_TO_BYTES（U32_MAX） 进行求值。DIV_ROUND_UP 执行的加法会封装，因此映射仅分配固定大小的 bloom 过滤器对象，同时保持 bitset_mask == U32_MAX。然后，后续更新可写入超过分配的对象。第二，仅修复分配大小是不够的。布隆哈希为 u32，但 set_bit（） 采用一个签名的长位数，而 x86 test_bit（） 最终会将索引馈送到 variable_test_bit（long， ...）。因此，在 32 位内核上，[0x80000000、U32_MAX] 中的哈希会变为负位偏移。带有内存操作数的 x86 BT/BTS 解释这些相对于提供的基数的偏移，因此即使在分配完整的 512 MiB 位图之后，含 bitset_mask == U32_MAX 的映射也可以在 bloom->bitset 之前读取或写入。保留U32_MAX回退，但在调用 test_bit（） 或 set_bit（） 之前将每个哈希拆分为一个字指针和一个字内位号。然后，bitops 参数始终位于 [0， BITS_PER_LONG - 1] 中，而 BIT_WORD（h） 仍会在完整位图中选择预期的字。从 （u64）bitset_mask + 1 计算位集大小，然后再将最终大小传递给 bpf_map_area_alloc（）。这修复了原始分配不足的问题，并使分配的存储与可寻址位集的一致。渗透利用注意事项：
    在 32 位 x86 内核上，可能利用具有 CAP_BPF 的二进制中的分配不足缺陷升级本地权限。（CVE-2026-89579）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipmi：在注册失败时删除所有 sysfs 文件 ipmi_add_smi（） 会在尝试创建 maintenance_mode 文件之前创建 nr_users 和 nr_msgs 文件。如果最后一次创建失败，错误路径在丢弃对该接口的最终引用之前仅删除nr_users。一并删除nr_msgs，这样不会保留注册中嵌入的 sysfs 属性。（CVE-2026-81006）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 以前在 OpenStack Keystone 中 29.0.3发现了一个问题。通过委派的认证方法（EC2 凭据、应用程序凭据、OAuth1 访问令牌和信任）获得的标记不会被阻止通过 /v3/credentials API 创建、修改或删除凭据。EC2 衍生的令牌可能会额外读取凭据 blob，从而暴露 TOTP MFA 种子和其他机密。此外，PATCH /v3/credentials 未验证请求的更新后project_id，从而允许任何委派的标记将凭据移动到未授权的项目。所有使用委派认证的 Keystone 部署均受到影响。
    (CVE-2026-90460)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/smc：修复 smc_switch_conns（） 中的套接字引用计数泄漏 smc_switch_conns（） 在终止 lgr->conns_lock 之前获取 SMC 套接字上的引用，因此在获取 CDC 插槽时连接保持活动状态：
    sock_hold（&smc->sk）;read_unlock_bh（&lgr->conns_lock）;/* 预获取 send_lock 之外的缓冲区，可能休眠 */ rc = smc_cdc_get_free_slot（conn， to_lnk， &wr_buf， NULL， &pend）;if （rc） 转至 err_out;err_out 标签仅丢弃 wr_tx 链接引用，因此此提早退出返回时不匹配 sock_put（）。第二个错误退出不受影响，因为此时 sock_put（） 已运行。泄漏的sk_refcnt意味着该smc_sock永远不会被销毁。其发送和接收缓冲区保持分配状态，并且对于用户套接字，网络命名空间中保留的引用永远不会释放，因此 netns 再也无法拆散。
    目标链路中断或在切换过程中中断连接时，smc_cdc_get_free_slot（） 会失败。在该函数实现的链路故障转移期间，两者均可访问，因此使 smc_switch_conns（） 运行的硬件事件同样会触发泄漏。
    重构结构，以便有一个涵盖两个结果的 sock_put（），而不是在错误路径中添加第二个结果。(CVE-2026-80983)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：在所有 nfsd_dispatch（） 退出路径上将rq_status_counter还原为偶数 nfsd_dispatch（） 在请求被解码后将 rq_status_counter 设置为奇数值，并在请求得到完全处理后恢复为偶数值，从而与 nfsd_nl_rpc_status_get_dumpit（） 中的无锁阅读器形成类似 seq-lock 的协议。只有完全成功的路径才能将计数器恢复为偶数。cache-hit （RC_REPLY）、drop （RC_DROPIT / RQ_DROPME） 和 encode-error 路径全部在奇数值存储之后返回，而不会使计数器恢复为偶数。一旦采用其中一条路径，rq_status_counter将保持奇数：下一个请求的解码 OR 位于 1（仍然是奇数），并且只有后续成功的编码恢复偶数。在卡住奇数时，dumpit 读取器会将 rqstp 字段视为稳定字段，并且其重试检查会与相同不变的奇数值进行比较，因此永远不会检测并发突变。这会将主动变异字段（例如，在复合解码和释放期间的 args->ops / args->opcnt）暴露给无锁读取器，其读取范围可能超过 8 元素内联 ops 数组的末尾。添加一个帮助程序，将计数器推进到下一个偶数值，并在奇数值存储之后的每个返回路径上调用它。在计数器被设置为奇数之前到达解码错误路径时保持不变。（CVE-2026-89705）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - accel/rocket：修复 rocket_job_push（） 中的空取消引用和整数溢出 rocket_job_push（） 分配一个临时数组以保存所有输入和输出 GEM 对象指针：bos = kvmalloc_array（job->in_bo_count + job->out_bo_count， sizeof（void *）， GFP_KERNEL）;memcpy（bos， job->in_bos， job->in_bo_count * sizeof（void
    *));memcpy（&bos[job->in_bo_count]， job->out_bos， ...）;存在两个缺陷：1. 缺少空检查：如果 kvmalloc_array（） 失败，则 bos 为空，并且后续的 memcpy（） 会取消引用它，从而导致内核空指针取消引用。2. 整数溢出：in_bo_count 和 out_bo_count 都是 u32，直接从用户空间提供的in_bo_handle_count设置，out_bo_handle_count未经事先验证。它们的总和以 u32 算术计算得出，并可换行至更小的值，造成传递至 kvmalloc_array（） 的分配计数小于预期。复制和锁定对象时，后续使用仍会按原始计数操作，这可能导致对临时数组的越界访问。通过在分配之前使用 check_add_overflow（） 检测计数溢出并对分配结果添加 NULL 检查来修复。（CVE-2026-89592）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - i3c：renesas：访问传输前检查传输是否有效 Renesas I3C 驱动程序使用异步模型传输数据。它准备结构renesas_i3c_xfer，将其排队并等待完成。中断处理程序会将传输出列、更新/使用传输，并向等待中的线程发出信号。
    如果完成超时，等待线程将出列传输并将其释放。如果在此之后触发中断，则处理程序可能访问释放的内存，从而导致崩溃。在中断处理程序中访问传输前，请检查传输是否仍然有效。通过该功能，请清除所有状态标记并禁用所有中断，以免再次触发相同的中断。（CVE-2026-80950）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ring-buffer：释放有 subbuf_order 的 cpu_buffer：：free_page 子缓冲区使用大于 0 的顺序时，会为 cpu_buffer->free_page 分配 subbuf_order。对 cpu_buffer->free_page 使用正确的顺序。
    (CVE-2026-89502)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：universal-pidff：当强制反馈初始化失败时停止设备 universal_pidff_probe（） 使用 hid_hw_start（） 启动设备，然后，如果强制反馈初始化失败，则通过仅返回错误的标签返回错误。设备保持启动状态。HID 核心不会代表驱动程序展开。__hid_device_probe（） 释放 devres 群组、关闭报告并清除 hdev->driver： if （ret） { devres_release_group（&hdev->dev， hdev->devres_group_id）; hid_close_report（hdev）;
    hdev->driver = NULL;} 通过 hid_connect（） 注册的 hid_hw_start（） 的 hidraw 字符设备使用 kzalloc（） 分配并添加了 cdev_device_add（），因此它不受 devres 管理并幸存下来。
    对于 hdev->driver NULL，hid_device_remove（） 也会跳过 hid_hw_stop（），因为它只会在仍附加驱动程序时展开。因此，注册在两个路径上的寿命都超过设备的寿命。打开幸存的 /dev/hidrawX 写入已释放的内存。KASAN 报告来自 hidraw_open（） 的释放后使用写入
    -> hid_hw_open（） ->传输的打开回调，其在已释放的对象中采用旋转锁。携带 PID 使用情况页面且没有输入报告的描述符就足够了：hidraw 声明设备，因此 hid_hw_start（） 成功，而 hid->inputs 保持空白，因此强制反馈 init 失败。其他失败会在 hid_pidff_init_with_quirks（） 中返回 - 无输出报告、分配失败、pidff_init_fields（）、pidff_check_autocenter（）、不可用的效果计数、input_ff_create（） - 都到达相同的标签。在该路径上停止设备。以相同的 HID_CONNECT_DEFAULT &; ~HID_CONNECT_FF 掩码启动设备的 hid-dr.c 和 hid-emsff.c 已执行此操作。两个较早的 goto 必须在没有 hid_hw_stop（） 的情况下继续返回，因为两者都没有启动设备，因此为启动后失败的路径提供自己的标签。由 XBOW 发现，由 Baul Lee <baul.lee@xbow.com> 分类 （CVE-2026-89624）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - timekeeping：检查 __do_adjtimex（） 中 tk_get_aux_ts64 的返回值 如果在 tk_get_aux_ts64（） 期间禁用了辅助时钟，但在检查 tks->clock_valid 之前启用了，则计算中将使用未初始化的堆栈数据并间接泄漏到用户空间。在此更改之后，核心计时员也存在相同的比赛窗口。但在这些情况下，唯一的影响是不正确的调整，这是用户空间的责任避免。（CVE-2026-80927）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：为 nfsd_proc_setattr（） 中的早期验证 SETATTR 添加 fh_want_write（） BOTH_TIME_SET 分支提前调用 fh_verify（），以便 setattr_prepare（） 可以检查 dentry。这会造成 nfsd_setattr（） 跳过 fh_want_write（），因此 notify_change（） 运行时无挂载写入引用。在早期 fh_verify（） 之后添加缺少的 fh_want_write（） 调用。（CVE-2026-89697）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - tracing/user_events：在 fork 复制之前清除已复制的跟踪状态 dup_task_struct（） 将user_event_mm从父项复制到子项，而不获取对它的引用。user_event_mm_dup（） 应替换它，但如果 user_event_mm_alloc（） 失败，它会保持不修改复制的指针。当子项退出时，user_event_mm_remove（） 递减子项从未拥有的引用，最终释放user_event_mm，而父项仍是指向它的过时指针。这将创建一个 UAF，KASAN 将其报告为： 缺陷：KASAN：current_user_event_mm+0x51/0x1d0 中的释放后使用 在 addr ffff888005010d30 处的大小为 4 的写入 根据任务 init/44 调用跟踪： <TASK> kasan_report+0xce/0x100 kasan_check_range+0x10f/0x1e0 current_user_event_mm+0x51/0x1d0 user_events_ioctl+0x82e/0x15c0 __x64_sys_ioctl+0x139/0x1c0 do_syscall_64+0xce/0x450 entry_SYSCALL_64_after_hwframe+0x77/0x7f 按任务 44 分配：
    __kasan_kmalloc+0x8f/0xa0 __kmalloc_cache_noprof+0x180/0x3a0 user_event_mm_alloc+0x3c/0x1f0 current_user_event_mm+0x88/0x1d0 由任务 42 释放：__kasan_slab_free+0x43/0x70 kfree+0x13a/0x390 process_one_work+0x696/0xf90 worker_thread+0x420/0xba0 该补丁只是清除复制的指针，以免发生任何可能的失败。如果失败了，孩子就没有什么可以释放的。（CVE-2026-89750）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：6fire：绑定来自设备的 MIDI 事件长度 usb6fire_comm_receiver_handler（） 使用设备提供的长度字节转发 MIDI 事件，不包含边界，也不检查传输是否传递了那么多字节： if （！urb->status） { if （rt->receiver_buffer[0] == 0x10） /* 事件中的 MIDI */ if （midi_rt） midi_rt->in_received（midi_rt， rt->receiver_buffer + 2、rt->receiver_buffer[1]）;} receiver_buffer是 64 字节 kzalloc（） 缓冲区 （COMM_RECEIVER_BUFSIZE），因此双字节标头后面只有 62 字节。
    receiver_buffer[1] 是设备选择的 u8，因此以 0x10 和长度为 0xFF 应答的设备会使 snd_rawmidi_receive（） 读取 255 字节，从开始将两个字节读取到 64 字节对象中。通过缓冲区的字节通过 rawmidi 读取路径传递到用户空间。也未参考 urb->actual_length，因此短传输会将类型字节和长度字节保留为之前的值，并且处理程序会对过时数据起作用。接收器 URB 在探测时从 usb6fire_comm_init（） 提交，因此读取发生在插头上，无需用户操作;转发到用户空间也需要打开 MIDI 输入子流，因为 usb6fire_midi_in_received（） 仅在设置了 rt-> 时才调用 snd_rawmidi_receive（）。7.2.0-rc5 （arm64） 中的 KASAN，来自仿真设备的单个数据包： 缺陷：KASAN：任务 bash/183 在地址 ffff000009f64682 的 snd_rawmidi_receive 读取中存在大小为 255 的 slab-out-ofbound __asan_memcpy snd_rawmidi_receive usb6fire_midi_in_received [snd_usb_6fire] usb6fire_comm_receiver_handler [snd_usb_6fire] 通过任务 11 分配：usb6fire_comm_init [snd_usb_6fire] usb6fire_chip_probe [snd_usb_6fire] 有缺陷的地址位于分配的 64- 的 2 个字节处。字节区域 [ffff000009f64680、ffff000009f646c0） 当长度超过标头之后的字节时，拒绝事件，并要求传输已提供标头加上相应字节数。接收方 URB 提交了 64 字节的transfer_buffer_length，因此正版设备无法发送长度超过这 62 字节的事件，并且不会丢弃任何有效的事件。由 XBOW 发现，由 Baul Lee <baul.lee@xbow.com> 分类 （CVE-2026-80973）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sctp：修复重复 RECONF 响应中的 stream->outcnt 下溢 缓存的 RECONF 区块可能包含多个请求参数。因此，重复响应可在另一个参数仍未完成时再次找到并处理相同的 ADD_OUT 请求，进而回滚两次，并且可能使其下溢。以位为单位跟踪未完成的请求类型，并在首次响应后清除每个位。然后，同一请求的后续响应将被忽略。（CVE-2026-89476）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：think-lmi：释放系统证书签名 多证书支持也允许系统认证对象存储删除驱动程序时泄漏的 ->signature 和 ->save_signature。释放签名以避免泄漏内存。（CVE-2026-81018）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - zram：验证 deflate 参数 我们必须先验证用户提供的 deflate winbits，然后才能将其传递给 zlib_deflate_workspacesize（），后者会在 winbits 值超出有效范围时触发 BUG_ON（）。
    (CVE-2026-89716)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nothings stb 提交 31c1ad3 的 stbsp_vsnprintf 函数 （stb_sprintf.h） 中的越界读取允许攻击者通过发送构建的输入造成拒绝服务 （DoS）。（CVE-2026-79516）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - platform/x86：int1092：修复 sar_probe（） 中潜在的内存泄漏 在 sar_probe（） 中的某些错误路径中未释放 sar_get_data（） 调用的为 parse_package（） 中device_mode_info分配的内存。通过转换为使用设备管理的分配来修复此问题。（CVE-2026-89437）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/tegra241-cmdqv：拒绝宽度超过SID_MATCH字段的 vSID tegra241_vintf_init_vsid（） 将客户机提供的 vSID 编程成 SID_MATCH，其 VIRT_SID 字段跨 [20:1] 位，其中位 0 作为匹配启用标记。因此，HW 仅匹配 20 位流 ID。边界检查仅拒绝比该字段宽得多的值的virt_sid > UINT_MAX。写入virt_sid << 1 |然后，0x1 每一位下降一次，超过 20：0x80000000 virt_sid 的值为 SID_MATCH = 0x1，这在 vSID 0 上为有效匹配，因此该条目别名为错误的流 ID。由于 vdev->virt_id 为客户机控制，VMM 可触发它。使用 FIELD_MAX（） 根据字段宽度验证virt_sid，并使用 FIELD_PREP（） 对寄存器进行编程，使值和字段保持一致。（CVE-2026-89450）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RISC-V：KVM：修复 PMU 事件信息数组大小溢出 SBI PMU EVENT_GET_INFO以 32 位整数存储客户机控制的num_events * sizeof（*einfo）。打开 RV64，num_events = 0x10000001 使0x100000010截断为 16。然后，KVM 会分配一个条目，但会循环原始num_events，造成越界读取和写入。嵌套客户机触发：缺陷：KASAN：在 kvm_riscv_vcpu_pmu_event_info+0xa4/0x142 中的 slab-out-of-bound 在地址 ff600000074d46b0 中，按任务 init/1 读取的大小为 4 调用跟踪：[<ffffffff8006471c>] kvm_riscv_vcpu_pmu_event_info+0xa4/0x142 [<ffffffff800690c0>] kvm_sbi_ext_pmu_handler+0xca/0x268 [<ffffffff8006779e>] kvm_riscv_vcpu_sbi_ecall+0xec/0x1e6 [<ffffffff8006008c>] kvm_riscv_vcpu_exit+0x48c/0x540 [<ffffffff8005ea0a>] kvm_arch_vcpu_ioctl_run+0x37e/0xc80 按任务 1 分配： __kmalloc_noprof+0x19e/0x4b0 kvm_riscv_vcpu_pmu_event_info+0x72/0x142 kvm_sbi_ext_pmu_handler+0xca/0x268 kvm_riscv_vcpu_sbi_ecall+0xec/0x1e6 kvm_riscv_vcpu_exit+0x48c/0x540 kvm_arch_vcpu_ioctl_run+0x37e/0xc80 有缺陷的地址位于分配的 16 字节区域右侧 0 字节处 [ff6000000074d46a0， ff600000074d46b0） 以 size_t 存储共享内存大小并拒绝乘法溢出。通过 GFP_KERNEL_ACCOUNT 分配客户机驱动的数组，以便向 kmemcg 收费，并使用 __GFP_NOWARN 禁止分配失败警告。使用 kvcalloc（） 允许 vmalloc 回退和无符号长循环索引匹配num_events。（CVE-2026-89513）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smb：客户端：修复 symlink_data（） 错误上下文循环中的 ALIGN（） 溢出 提交 7d9a7f1f96cd 添加的检查（smb/客户端：修复 symlink_data（）） 中可能的无限循环和 OOB 读取）将 ALIGN 后长度与剩余缓冲区进行了比较，但 ALIGN（） 本身可能会溢出：对于接近 UINT32_MAX（如 0xFFFFFFF9）的 ErrorDataLength，ALIGN（x， 8） 封装为 0，因此后续的边界检查通过， 并且循环会前进零字节，留下“p”指向过时数据。修复方法为，在应用 ALIGN（） 之前针对剩余空间检查原始 ErrorDataLength，然后再重新检查。由于 raw_len 受到缓冲区的边界限制，因此 raw_len + 7 不会溢出，因此第二个检查是精确的后对齐后边界保护。
    (CVE-2026-89634)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ntfs：将自由群集位图扫描绑定到卷 vol->lcn_empty_bits_per_page 的大小从挂载时的 vol->nr_clusters 开始，但是 ntfs_cluster_alloc（） 按 的 $Bitmap大小限制其对该数组的扫描。
    这些是独立的磁盘上数量，并且装载时间检查仅拒绝过小的 a $Bitmap ，因此如果映像覆盖的群集多于卷所拥有的群集，则 $Bitmap 扫描索引可通过数组。LCN 位于该间隙中的运行将分配器直接带到那里，因为调用程序将文件自己的最后一个 LCN 作为其本地性提示传递。当扩展此类卷上的文件时，KASAN 报告 slab 越界读取。将扫描限制到该数组覆盖的内容，镜像挂载时间扫描已经使用的max_index计算，并在映射对解码器中拒绝等于或超出nr_clusters的解码 LCN。符合要求的卷不受影响。（CVE-2026-89614）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/uverbs：将 UVERBS_ATTR_UHW 添加到 UVERBS_METHOD_REG_MR 原始提交遗漏三个驱动程序（mthca、irdma、siw）具有与无法通过 ioctl 传递的reg_mr相关的 UHW 数据。它们还假设 udata 不能为空，因此无法传递有效的 udata 可在这些驱动程序中触发 NULL udata 崩溃。在实际系统中绝不会发生此情况，因为在 rdma-core 中，ibv_cmd_reg_mr_ex（） 不接受 udata 并且这三个驱动程序不使用它，但恶意用户空间可触发此问题。
    (CVE-2026-89506)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mpls：当 MPLS 路由具有多个 nexthops 时，mpls_select_multipath（） 在 pskb_may_pull（） 调用 mpls_multipath_hash（） 以选择 nexthops 后重新加载标头。遍历 MPLS 标签堆栈时，哈希例程会缓存当前标签的 hdr。找到堆栈底部标签后，它会在读取内部 IP 标头之前调用 pskb_may_pull（）。如果 skb 是在非线性数据中使用内部 IP 头构建的，而线性头中的尾部空间不足，则 pskb_may_pull（） 会调用 pskb_expand_head（） 以替换 skb 头并释放旧头。这会使 hdr 指向已释放的内存。IPv6 路径在对较大标头执行第二次拉取时，可再次使 hdr 无效。该问题是通过静态分析发现的。复制器通过 bareudp/MPLS 多路径设置发送合法的 Geneve 数据包，在 2 次未修补的运行中，有 2 次触发了相同的 KASAN 报告：缺陷：KASAN：任务 ksoftirqd/1/23 在地址 ffff88800ecc6e20 处大小为 1 的 mpls_select_multipath 读取中的 slab-use-after-free 调用跟踪：mpls_select_multipath mpls_forward
    __netif_receive_skb_list_core netif_receive_skb_list_internal napi_complete_done gro_cell_poll __napi_poll net_rx_action 由任务 23 释放：kfree pskb_expand_head __pskb_pull_tail mpls_select_multipath 每次成功拉取后，在派生内部 IPv4 或 IPv6 标头指针之前从当前 skb 头重新加载 hdr。（CVE-2026-89555）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：RFCOMM：序列化安全确认处理 rfcomm_security_cfm（） 会查找 session_list 上的会话，然后遍历其 DLC 列表而不按住rfcomm_mutex。由于 RFCOMM 会话拆卸使用rfcomm_mutex，因此 krfcommd 可同时关闭和释放相同的会话和 DLC：hci_rx_work krfcommd
    ----------- --------- rfcomm_session_get（） rfcomm_lock（） rfcomm_session_close（） rfcomm_dlc_unlink（） rfcomm_session_del（） kfree（s） rfcomm_unlock（） walk s->dlcs 然后，回调可在更新其标志或计时器的同时读取释放的会话列表标头并接触释放的 DLC。使用 rfcomm_mutex 将 rfcomm_security_cfm（） 中的会话查找和 DLC 遍历序列化。这与现有 RFCOMM 会话生命周期规则相匹配，并阻止并发 rfcomm_session_del（） / rfcomm_dlc_unlink（） 在回调使用对象时对其进行去除。KASAN 报告：缺陷：KASAN：任务 kworker/u17：1/89 在地址 ffff8881111fb3960 的 rfcomm_security_cfm+0x41c/0x440 中存在大小为 8 的 slab-use-after-free 工作队列：hci0 hci_rx_work 调用跟踪：rfcomm_security_cfm+0x41c/0x440 hci_encrypt_cfm+0x139/0x590 hci_encrypt_change_evt+0x37b/0xc40 hci_event_packet+0x71b/0xb20 hci_rx_work+0x293/0x730 按任务 69 分配： rfcomm_session_add+0x9e/0x2f0 rfcomm_run+0x44b/0x41e0 由任务 69 释放：kfree+0x131/0x3c0 rfcomm_session_del+0x188/0x220 rfcomm_run+0x1985/0x41e0 （CVE-2026-89569）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - io_uring/query：传递给 copy_struct_to_user io_handle_query_entry（） 的上限用户大小限制了入站 copy_from_user（） 的 hdr.size，但原始用户值为 usize。copy_struct_to_user（） 使用该 usize，当其大于内核结果时，clear_user（） 末尾字节。由于 hdr.size 是
    __u32，一个查询可以请求将近 4 GiB 的清零，包括在 res_size 仍然为 0 的错误路径上。
    无需环即可通过 IORING_REGISTER_QUERY 访问该接口。拒绝大于 PAGE_SIZE 的大小，如 copy_struct_* 接口的建议。（CVE-2026-81009）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：mcp2221：验证 mcp2221_raw_event（） 中的报告大小 mcp2221_raw_event（） 从不验证传入的 HID 报告的大小。在 MCP2221_I2C_GET_DATA 路径中，它将设备提供的 data[3] 作为复制长度，而未检查接收到的报告中是否实际存在 4 + data[3] 字节。恶意或行为不当的 USB 设备可发送包含大量数据[3]的简短报告，导致 memcpy 读取 HID 传输缓冲区中的有效报告数据，并通过 I2C/SMBus 读取路径将未初始化的内核内存泄露回用户空间。在条目时添加最小大小检查，并在复制之前验证源范围是否适合收到的报告。（CVE-2026-89621）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cifs：在 cifs_file_set_size（） 中 cifsFileInfo_put（） 之后清除 tcon 当 cifs_file_set_size（） 的 else 分支通过 find_writable_file（） 找到可写入的文件句柄时，它会从句柄的 tlink 借用 tcon 和 server，尝试基于句柄的 set_file_size（） RPC，然后通过 cifsFileInfo_put（） 释放句柄。如果 set_file_size（） 失败，则执行会转向基于路径的回退，从而在 if （tcon == NULL） 防护下重用借用的 tcon 和服务器。由于 tcon 在该时不是 NULL，因此将跳过该保护。如果 cifsFileInfo_put（） 丢弃了已从 tlink 树中删除的 tlink 上的最后一个引用（TCON_LINK_IN_TREE清除，在重新连接或会话拆卸过程中发生），cifs_put_tlink（） 将释放 tcon;然后，后续的 set_path_size（） 调用即为释放后使用。在 cifsFileInfo_put（） 之后设置 tcon = NULL 会导致现有防护采用 cifs_sb_tlink（） 路径，从而获取基于路径的操作的新引用，或者在会话消失时完全失败。（CVE-2026-89641）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - libceph：拒绝具有不匹配 CRUSH id 的存储桶 crush_decode（） 按数组插槽存储存储段数据，映射器随后会从解码的存储段 id 派生每个存储段的工作区索引。因此，格式错误的映射可通过编码不同于 -1 - slot 的 id 来使一个存储段重复使用另一个存储段的工作区。对于统一存储桶，第二个副本选择会将源存储桶的排列扩展到该别名工作区缓冲区中。如果源存储桶大于别名存储桶，则写入会经过较小的排列数组，并可逃逸 kvmalloc'd CRUSH 工作区。KASAN 报告 bucket_perm_choose（） 中 4 字节的 slab OOB 写入。拒绝编码 id 不匹配其数组插槽的存储桶。有效的 CRUSH 映射已使用与存储段槽对应的规范负 ID，因此这会在不改变有效映射行为的情况下，还原 work->work[-1 - in->id] 所预期的不变性。（CVE-2026-89656）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：cap 解码的 POSIX ACL 计数绑定排序成本 nfsd4_decode_posixacl（） 从线路上读取 u32 条目计数，并将其直接传递给 posix_acl_alloc（） 和 sort_pacl_range（）。后者是 O（n^2） 冒泡排序，因此客户端选择的计数会在服务器的复合处理路径中驱动不受限制的 CPU。
    nfsd4_decode_posixacl（） xdr_stream_decode_u32（&count） /* 无上限的 u32 */ posix_acl_alloc（count， GFP_KERNEL） sort_pacl_range（*acl， 0， count - 1） /* O（n^2） 冒泡排序 */ 同一文件中的编码器端已经拒绝a_count超过 NFS_ACL_MAX_ENTRIES 的 ACL，但在提交 5fc51dfc2eb1 中引入的解码器（NFSD：添加对 POSIX 草案 ACL 解码的支持）忽略了对称检查。通过在任何分配之前拒绝使用 nfserr_inval 的NFS_ACL_MAX_ENTRIES的导线计数进行修复，以便以 NFS_ACL_MAX_ENTRIES^2 比较为界限进行排序。当我们在这里时，还修复 posix_acl_alloc（） 失败时返回nfserr_resource。这不是 v4.1+ 的合法错误代码。将其更改为返回 nfserr_jukebox，因为更适合内存分配失败。（CVE-2026-89695）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mmc：via-sdmmc：取消删除时的 card-detect 工作 禁用设备中断并释放 IRQ 可防止新的 card-detect 工作排队，但处理程序已经排队的carddet_work在 via_sd_remove（） 返回之后仍可运行。via_sdc_card_detect（） 通过 container_of（） 恢复主机并取消引用其 MMIO 库;remove（） 返回后，即可释放主机，因而这项工作将涉及已释放的内存。在释放 IRQ 后和取消 finish_bh_work之前取消carddet_work，card-detect 处理程序也可以将其排队。carddet_work可通过 via_reset_pcictrl（） 重新启用中断;之后再次遮盖它。此问题由内部静态分析工具发现，并通过手动代码审查确认。（CVE-2026-89441）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：intel-thc-hid： intel-quickspi：将 GET_REPORT 响应绑定到调用程序缓冲区 quickspi_hid_raw_request（） 接收调用程序的缓冲区长度（以 len 为单位），但 quickspi_get_report（） 从未看到该长度，并且无论如何都会将整个设备提供的响应复制到 buf 中：memcpy（buf， qsdev->report_buf， qsdev->report_len）;qsdev->report_len 来自触摸控制器返回的输入报告，而 buf 的大小取决于调用方通过 HIDIOCGFEATURE 或 HIDIOCGINPUT 向 hidraw 请求的任何内容。大于该值的响应会使包含设备控制的内容的缓冲区溢出。intel-quicki2c 同级已将调用程序长度向下传递给 quicki2c_get_report（），并在复制之前针对它验证响应。在这里做同样的事情。（CVE-2026-89619）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sched_ext：修复分派 kfuncs 中的 this_rq（） 假设 在核心调度下，分派从核心范围的选取中运行，并且可以以同级 rq 为目标，因此 ops.dispatch（） 可在不同于分派 rq 的 CPU 上执行。多个 kfunc 路径假设两者始终重合：- scx_dsq_move（） 通过测试 this_rq（） 的 rq 标记来决定是否持有 rq 锁定，并相应进行锁定跳舞。同级的分派占用了未锁定的上下文分支，并在可能死锁的已经持有的分派 rq 锁定之上获取源 rq 锁定。- scx_bpf_sub_dispatch（） 分派 this_rq（） 及其隐藏的sub_dispatch_prev，在为同级分派时为 NULL。- finish_dispatch（）、scx_bpf_dsq_reenq（） 和 scx_bpf_dsq_nr_queued（） 解析SCX_DSQ_LOCAL此 CPU 的本地 DSQ 而非已调度的 rq。
    后两者也可以从其他 rq 锁定操作调用，其中 SCX_DSQ_LOCAL 现在同样解析为 op 的 rq。这在没有核心调度的情况下也会更改行为，例如对于在唤醒的 CPU 上运行远程唤醒的 ops.enqueue（），并且预期：碰巧执行操作的 CPU 是偶然的，op 的 rq 是它的操作环境，并且分辨率现在匹配 SCX_DSQ_LOCAL 调度落在任务的 rq 上的插入端。使用 scx_locked_rq（） 跟踪的 rq，其设置为围绕 ops 调用和未锁定环境中的 NULL 时分派的 rq。（CVE-2026-89518）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - s390/dasd：针对未分配的私有数据保护 sysfs 纪律回调 多个 sysfs show/store 处理程序会直接或通过 DASD_DEFINE_ATTR（） 宏调用规则回调来取消引用 device->private。在 dasd_generic_set_online（） 期间，该规则会在 check_device（） 分配 device->private 之前分配，因此在该窗口中非特权读取这些全局可读属性之一将取消引用空指针并发生错误。保护每个实际接触 device->private 的回调中的取消引用。（CVE-2026-89457）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - accel/rocket：清理路径前初始化作业域 rocket_ioctl_submit_job（） 通过 rocket_job_put（） 在分配错误路径上释放 rjob。rocket_job_cleanup（） 会无条件调用 rocket_iommu_domain_put（job->domain），但 job->domain 只会在任务复制和 BO 查找后才分配。
    因此，在该分配之前发生的失败可清除具有空域指针的作业。在第一个错误路径释放 rjob 之前获取每个文件的域引用。在 rocket_copy_tasks（） 中释放 rjob->task 之后也将其清除，以便通用清除路径在任务复制错误之后无法再次释放该任务数组。（CVE-2026-89591）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mfd：sm501：修复删除期间可能出现的内存泄漏 针对 sm501_pci_probe（） 和 sm501_plat_probe（） 中结构sm501_devdata分配的内存未由相应的 remove 函数 sm501_pci_remove） 和 sm501_plat_remove（） 释放。通过添加对 kfree（） 的调用修复此问题。（CVE-2026-80974）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Google go-attestation 及之前 0.6.1 版本的 Windows SIPA 事件日志解析器中存在不受控制的递归漏洞，允许攻击者造成拒绝服务 （DoS）。（*WinEvents）.readELAMAggregation 函数针对每个嵌套的 elamAggregation 子事件进行递归，而不强制实施最大递归深度限制，而递归执行路径上会绕过大小保护。
    通过提交包含深度嵌套的 elamAggregation 标头的特制 Windows 事件日志，攻击者可耗尽 goroutine 调用堆栈，触发不可恢复的致命运行时错误（堆栈溢出），立即造成校验器应用程序崩溃。（CVE-2026-19201）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：brcmfmac：修复 brcmf_sdio_read_control（） 中的内存泄漏 在 brcmf_sdio_read_control（） 中的某些错误路径中，为 buf 分配的内存未得到释放。通过添加 vfree（） 调用修复该问题。[arend：按照 Johannes 的建议进行返工]（CVE-2026-80949）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7996：修复 AddBA req 帧的 TX DMA 映射泄漏 mt7996/mt7992 向固件传递用于 AddBA req 操作帧（MT_TXD7_MAC_TXD，在 mt7996_mac_write_txwi_80211（） 中设置）但其他为 FW-TXP 设备的 HW MAC-TXP。因此，在 tx 释放时，mt76_connac_txp_skb_unmap（） 会将每帧的 txp 解码为结构mt76_connac_fw_txp。对于 MAC-TXP，fw_txp.nbuf 字节将 AddBA TID 字 （MT_TXP1_TID_ADDBA） 别名为别名，后者始终为零，因此取消映射循环运行了零次，并且 buf[1] 中的 skb DMA 映射永远不会取消映射。buf[1].skip_unmap 是无条件设置的，因此通用 DMA-ring 清除也会跳过该设置。因此每个 AddBA req 都会泄露一个 TX DMA 映射，大约每个（重新）关联泄漏一个映射。启用 WED 后，这些映射将通过 WED swiotlb 池反弹，因此在持续的客户端重新连接下，池会在 ~1-2 天后耗尽，之后 WED、WiFi MCU 和其他 SoC 上的使用者的 DMA 映射失败。
    保留设计所依赖的延迟（标记释放）取消映射，并添加 mt7996 特定 txp 取消映射，用于检查MT_TXD7_MAC_TXD并将 buf[1] 从这些帧的 MAC-TXP 布局中取消映射，否则委托给 mt76_connac_txp_skb_unmap（）。（CVE-2026-80934）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dm-pcache：限制对段数据区域的尾部 kset 读取 cache_replay（）、回写工作线程和 GC 工作线程中的尾部 kset 读取按原始段大小而非数据区域PCACHE_SEG_SIZE - seg_off 限制其长度。线段末端附近的尾部越过线段数据读入以下控制区域。将读取限制到数据区域 cache_seg_remain（）。（CVE-2026-80958）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：修复 nfsd4_create_file（） 中可能的错误 dentry fh_compose dentry_create（） 假设可提供与传入的 dentry 不同的 dentry。例如，如果导出的文件系统是 NFS，并且服务器返回 OPEN 与 dcache 中已有的目录相匹配的文件句柄，则可发生此情况。显然这是出乎意料的！如果发生此情况，可在以后释放已存储在 resfhp 中的 dentry（子项）（子项）。在确定拥有最终的 dentry 之前，我们不应调用 fh_compose（），因此此修补程序将 fh_compose（） 调用移动到两个位置：一个针对目标已存在的情况，另一个针对目标创建的 dentry_create（） 之后。
    (CVE-2026-89677)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
345197	Linux Distros 未修补的漏洞：CVE-2026-81013	high
345196	Linux Distros 未修补的漏洞：CVE-2026-89509	medium
345195	Linux Distros 未修补的漏洞：CVE-2026-89469	high
345194	Linux Distros 未修补的漏洞：CVE-2026-89474	medium
345193	Linux Distros 未修补的漏洞：CVE-2026-80928	high
345192	Linux Distros 未修补的漏洞：CVE-2026-89660	critical
345191	Linux Distros 未修补的漏洞：CVE-2026-89522	high
345190	Linux Distros 未修补的漏洞：CVE-2026-89543	high
345189	Linux Distros 未修补的漏洞：CVE-2026-89602	high
345188	Linux Distros 未修补的漏洞：CVE-2026-89579	high
345187	Linux Distros 未修补的漏洞：CVE-2026-81006	high
345186	Linux Distros 未修补的漏洞：CVE-2026-90460	high
345185	Linux Distros 未修补的漏洞：CVE-2026-80983	medium
345184	Linux Distros 未修补的漏洞：CVE-2026-89705	high
345183	Linux Distros 未修补的漏洞：CVE-2026-89592	medium
345182	Linux Distros 未修补的漏洞：CVE-2026-80950	high
345181	Linux Distros 未修补的漏洞：CVE-2026-89502	high
345180	Linux Distros 未修补的漏洞：CVE-2026-89624	high
345179	Linux Distros 未修补的漏洞：CVE-2026-80927	medium
345178	Linux Distros 未修补的漏洞：CVE-2026-89697	critical
345177	Linux Distros 未修补的漏洞：CVE-2026-89750	high
345176	Linux Distros 未修补的漏洞：CVE-2026-80973	medium
345175	Linux Distros 未修补的漏洞：CVE-2026-89476	high
345174	Linux Distros 未修补的漏洞：CVE-2026-81018	high
345173	Linux Distros 未修补的漏洞：CVE-2026-89716	high
345172	Linux Distros 未修补的漏洞：CVE-2026-79516	medium
345171	Linux Distros 未修补的漏洞：CVE-2026-89437	medium
345170	Linux Distros 未修补的漏洞：CVE-2026-89450	high
345169	Linux Distros 未修补的漏洞：CVE-2026-89513	high
345168	Linux Distros 未修补的漏洞：CVE-2026-89634	critical
345167	Linux Distros 未修补的漏洞：CVE-2026-89614	critical
345166	Linux Distros 未修补的漏洞：CVE-2026-89506	medium
345165	Linux Distros 未修补的漏洞：CVE-2026-89555	critical
345164	Linux Distros 未修补的漏洞：CVE-2026-89569	high
345163	Linux Distros 未修补的漏洞：CVE-2026-81009	high
345162	Linux Distros 未修补的漏洞：CVE-2026-89621	medium
345161	Linux Distros 未修补的漏洞：CVE-2026-89641	high
345160	Linux Distros 未修补的漏洞：CVE-2026-89656	critical
345159	Linux Distros 未修补的漏洞：CVE-2026-89695	high
345158	Linux Distros 未修补的漏洞：CVE-2026-89441	high
345157	Linux Distros 未修补的漏洞：CVE-2026-89619	high
345156	Linux Distros 未修补的漏洞：CVE-2026-89518	high
345155	Linux Distros 未修补的漏洞：CVE-2026-89457	high
345154	Linux Distros 未修补的漏洞：CVE-2026-89591	medium
345153	Linux Distros 未修补的漏洞：CVE-2026-80974	medium
345152	Linux Distros 未修补的漏洞：CVE-2026-19201	high
345151	Linux Distros 未修补的漏洞：CVE-2026-80949	medium
345150	Linux Distros 未修补的漏洞：CVE-2026-80934	medium
345149	Linux Distros 未修补的漏洞：CVE-2026-80958	high
345148	Linux Distros 未修补的漏洞：CVE-2026-89677	critical

检测

Nessus 的 Misc. 系列

high

medium

high

medium

high

critical

high

high

high

high

high

high

medium

high

medium

high

high

high

medium

critical

high

medium

high

high

high

medium

medium

high

high

critical

critical

medium

critical

high

high

medium

high

critical

high

high

high

high

high

medium

medium

high

medium

medium

high

critical