Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mm/kmemleak：避免扫描任务堆栈时软锁定 修补程序系列 mm/kmemleak：避免扫描任务时软锁定，v3。kmemleak_scan（） 扫描一个没有重新计划点的 rcu_read_lock（） 下的每个任务堆栈，这可使具有大量线程的主机上的软锁定监视程序跳变。这将打印以下消息，具体取决于工作负载+主机配置：监视程序：缺陷：软锁定 - CPU#35 卡住 22 秒！[kmemleak：537] scan_block kmemleak_scan kmemleak_scan_thread kthread 修补程序 1 使用 find_ge_pid（） 遍历任务，因此扫描会在任务之间重新安排。修补程序 2-3 可让扫描循环在扫描中断后提早停止。此修补程序（共 3 个）：kmemleak_scan（） 遍历每个线程，并在没有重新计划点的单个 rcu_read_lock（） 下扫描其内核堆栈。在具有大量线程（由调试构建中的 KASAN/lockdep 放大）的主机上，此循环可占用足够长的 CPU 以使软锁定监视程序跳变：
    watchdog：缺陷：软锁定 - CPU#35 卡住 22 秒！[kmemleak：537] scan_block kmemleak_scan kmemleak_scan_thread kthread 无法直接添加 cond_resched（）：循环在 RCU 读取端关键部分内运行。使用 find_ge_pid（） 一次遍历一个 PID 任务，采用 RCU 读取锁定，仅用于查找和固定每个任务。然后扫描堆栈时不保留任何锁，因此 cond_resched（） 在任务之间运行并且扫描在 scan_should_stop（） 时提早停止。这遵循 next_tgid（）/task_seq_get_next（） 迭代模式，并使每个 RCU 关键部分保持简短。（CVE-2026-89759）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipip：修复metadata_dst分配失败时 collect_md 模式下的 skb 泄漏 在 collect_md 模式下，当 ip_tun_rx_dst（） 无法分配metadata_dst时，ipip_tunnel_rcv（） 返回 0 而不释放 skb。ipip_rcv（） 和 mplsip_rcv（） 注册为xfrm_tunnel处理程序，因此 tunnel4_rcv（） 和 tunnelmpls4_rcv（） 在数据包已消耗时读取零返回，并且也不释放它。skb 已泄漏。其他隧道驱动程序此时全部处置数据包：ip6_tunnel.c 跳至其放置标签，ip_gre.c 且 ip6_gre.c 返回 PACKET_REJECT，进而使 gre_rcv（） 释放 skb。仅 ipip 返回 0。请转为跳转到现有的放置标签。它释放了 skb 并且仍然返回 0，因此数据包一直被报告为已消耗，这正是我们在这里想要的：外部标头已被拉取，其余的处理程序和不可访问的 ICMP 都无法对其有任何用处。触发此漏洞需要 collect_md 模式下的 ipip 或 mplsip 隧道以及原子分配失败，这就是它未被注意到的原因。（CVE-2026-89565）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SUNRPC：拒绝重复的CREDS_VALUE选项 gssx_dec_option_array（） 遍历有线提供的选项数组，并且对于名称匹配 CREDS_VALUE 的每个条目，在同一 struct svc_cred上调用 gssx_dec_linux_creds（）。该帮助程序会无条件地将新的 groups_alloc（） 结果安装到 creds->cr_group_info 中，而不释放任何已有的指针：for （i = 0; i < count; i++） { ...解码名称 ...if （length == sizeof（CREDS_VALUE） &; memcmp（p， CREDS_VALUE， sizeof（CREDS_VALUE）） == 0） { err = gssx_dec_linux_creds（xdr， creds）; ... } }因此，包含两个CREDS_VALUE条目的回复会在第二次迭代中覆盖cr_group_info，并使第一次调用分配的group_info孤立。
    较早的 free_creds 路径仅通过 free_svc_cred（） 释放最后一个cr_group_info，因此第一个分配的 refcount 保持在 1，并且其 kvmalloc 支持的存储会泄漏。树内调用程序中没有 gssp_accept_sec_context_upcall（） 预期每次回复有多个CREDS_VALUE。通过跟踪是否已解码 CREDS_VALUE 选项并在任何后续匹配时返回 -EINVAL 进行了修复，以便free_creds路径释放已安装的单个group_info。（CVE-2026-89539）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSD：防止 unlock_filesystem 中发生关闭后释放后使用 将文件系统路径写入 /proc/fs/nfsd/unlock_filesystem 会在保留 nfsd_mutex 之前和处理程序确认已设置 nn->nfsd_serv 之前运行 nfsd4_cancel_copy_by_sb（）。nfsd 关闭后，nfs4_state_destroy_net（） 将释放 nn->conf_id_hashtbl 但指针保持不变，因此 cancel 帮助程序将释放的 slab 内存迭代为结构list_head的数组，然后在采用 clp->async_lock 时取消引用虚假的nfs4_client。保留CAP_SYS_ADMIN的本地管理员可通过停止服务器然后写入 unlock_filesystem 来达到此释放后使用情况;KASAN 报告 nfsd4_cancel_copy_by_sb（） 中的 slab-use-after-free 读取。
    nfsd4_revoke_states（） 遍历相同的状态表，因此仅在确认存在 nn->nfsd_serv 的 nfsd_mutex 下运行。将异步 COPY 取消移至该受保护的部分，以便此路径上的每个 NFSv4 状态表遍历器都观察到正在运行的服务器。异步副本仅在服务器运行时存在，因此在 nn->nfsd_serv 上进行取消不会丢失任何内容。（CVE-2026-89661）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/vt-d：启用了 tboot 时强制请求 ACS 当前，在 detect_intel_iommu（） 中请求 ACS 的条件不包括 tboot，因此在禁用 ACS 的情况下可能导致配置错误（例如
    由于用户选择），而 IOMMU 稍后会由 tboot_force_iommu（） 强制启用。通过检查 detect_intel_iommu（） 中的 tboot 修复此问题。（CVE-2026-89448）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7615：避免等待 mt76 互斥体下的 mac 工作 mt7615_suspend（） 获取 mt76 互斥体，然后在mac_work上调用 cancel_delayed_work_sync（）。mt7615_mac_work（） 通过工作线程顶部的 mt7615_mutex_acquire（） 获取相同的互斥体，因此，如果 mac_work 已在互斥体上运行并被阻断，则挂起路径死锁等待它保持互斥体的工作。采用互斥体之前刷新scan_work和mac_work，以匹配 mt7921 和 mt7925 中的挂起路径。scan_work 仅采用 mt76 旋转锁，但移动它可保持序列的一致性。这也阻止 mac_work 在已挂起的 HIF 上运行，而先前的拆分（锁定下的异步取消、释放后同步取消）允许此情况。（CVE-2026-80938）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ring-buffer：使 cpu_buffer：：free_page 成为buffer_data_read_page 在并发环缓冲区调整大小时，丢弃缓存的阅读器页面会对 free_pages（） 调用使用新的全局subbuf_order。这种不匹配的顺序可能会导致内核崩溃或泄漏内存，因为在旧大小下分配缓存页面。
    将实际free_page顺序与页面地址一起保存，以确保始终引用正确的值，而不依赖可能停止的cpu_buffer>subbuf_order值。最简单的方法是free_page一个已经完全涵盖我们需要的内容的buffer_data_read_page：页面地址和页面顺序。（CVE-2026-89500）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ubifs：修复签名长度检查中的越界读取 ubifs_sb_verify_signature（） 在将签名负载传递给 verify_pkcs7_signature（） 之前绑定磁盘上的 ubifs_sig_node->len 字段，但检查具有错误的符号：if （le32_to_cpu（signode->len） > snod->len + sizeof（struct ubifs_sig_node）） 签名字节开始 sizeof（struct ubifs_sig_node） （UBIFS_SIG_NODE_SZ， 64 字节）注入节点，因此负载最多为 snod->len - sizeof（struct ubifs_sig_node） 字节长。将标头大小相加而不是减去，接受声明的长度最多大于节点实际容纳的 2 * UBIFS_SIG_NODE_SZ
    -- 超过 c->sbuf 的结尾，即 vmalloc（c->leb_size）。然后，verify_pkcs7_signature（） -> pkcs7_parse_message（） -> asn1_ber_decoder（） 会传递该膨胀长度，并在遍历 DER 标头时读取超出分配范围。节点长度直接来自挂载的图像，因此构建的签名 UBIFS 图像可在对签名进行密码检查之前通过 ubifs_read_superblock（） 到达此范围。snod->len 被节点扫描程序保证为 >= UBIFS_SIG_NODE_SZ （c->ranges[UBIFS_SIG_NODE].min_len == UBIFS_SIG_NODE_SZ），因此修正后的减法不能下溢。
    合法签名的图像不受影响：正确的超级块永远不会声明比嵌入的节点更长的签名。（CVE-2026-89720）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - s390/dasd：在 ERP 恢复中传播部分完成长度 dasd_default_erp_postaction（） 将已完成 ERP 请求中的计时和设备状态复制回原始请求，但丢弃proc_bytes。部分完成的请求，尚未分配的轨道的 ESE 读取返回的字节少于请求的字节，然后通过 ERP 链恢复丢失其部分完成长度。
    然后，__dasd_cleanup_cqr（） 发现 proc_bytes == 0 并完成整个请求，而不是重新排队其余请求，静默返回从未读取的部分的零数据。像其他按请求状态一样，proc_bytes结转到原始请求。（CVE-2026-89456）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - debugfs：修复mmap_prepare提交 651fdda8406d 的锁定检查（中继：更新中继以使用 mmap_prepare） 已将 relayfs 的“mmap”文件操作更改为“mmap_prepare”，但 debugfs 中的锁定检查并未相应更新。如果文件使用“mmap_prepare”而非“mmap”，这可以防止内核处于完整性模式时 debugfs 被锁定。由于尚未完成跨内核到“mmap_prepare”的转换，因此更新锁定检查以同时查找“mmap”和“mmap_prepare”以确保全面覆盖。（CVE-2026-89745）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - openvswitch：修复 CT 限制破坏释放后使用问题 数据包处理在 RCU 下使用 CT 限制状态，而 netns 拆卸在 ovs_mutex 下释放该状态。CT 限制指针既未从读取器中删除，也未受到宽限期的保护，从而允许数据包处理取消引用释放的状态。非特权用户可从用户和网络命名空间触发此缺陷，从而在 netns 拆散时在 ovs_ct_execute（） 中造成释放后使用板。通过 RCU 发布 CT 限制指针，在拆卸前将其删除，等待阅读器后再释放其内容。保持对各个 CT 限制更新的ovs_mutex，并在 GET 遍历 RCU 保护的限制列表时使用 RCU 读取端锁定。Netns 拆卸会在保持 ovs_mutex 时分离 pernet .pre_exit 回调中受 RCU 保护的 CT 限制状态。pernet 核心保证 .pre_exit 和 .exit 回调之间的 RCU 宽限期，因此 .exit 回调在不添加任何额外同步的情况下完成拆卸。netlink 命令处理程序不需要 NULL 检查，因为在处理请求时，用户空间 netlink 套接字保留了对其网络命名空间的活动引用。因此，per-netns 退出路径无法与该套接字命名空间的 SET、DEL 或 GET 并发运行。（CVE-2026-89488）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - libceph：在光标前验证 OSD 扩展映射 net/ceph/osd_client.c：osd_sparse_read（） 验证稀疏读取数据长度是否匹配总和扩展长度，但不会验证每个 OSD 提供的扩展是否单调以及位于原始请求范围内。经验证的畸形 OSD 回复可公告具有相符数据长度的远向非零范围偏移，并使客户端将消息数据光标推进到请求缓冲区之外。这会从客户端接收路径到达 ceph_msg_data_next（） 中的 BUG_ON（！*length） 断言。影响：恶意或遭到破坏的经身份验证的 Ceph OSD 对等体可以通过畸形稀疏读取回复，造成内核 Ceph 客户端崩溃。前进光标之前，拒绝溢出、向后移动、重叠或延伸到原始稀疏读取请求之外的稀疏范围映射。[ idryomov：以 CEPH_SPARSE_READ_DATA_LEN 而非CEPH_SPARSE_READ_DATA_PRE状态更早地执行 sparse_extent_map_valid（） 检查 ]（CVE-2026-89657）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7996：验证默认 EEPROM 固件大小默认 EEPROM 固件在不检查其长度的情况下解析和复制为完整的 EEPROM。截断文件可使驱动程序在变体验证或回退复制期间读取超过固件缓冲区。在解析或复制固件之前，拒绝短于 MT7996_EEPROM_SIZE 的文件。（CVE-2026-80933）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：重放重试时放弃 stateid，而不是 stateowner seqid_op在 nfs4_preprocess_seqid_op（） 中，stateid 获取自 nfsd4_lookup_stateid（），后者保留对 nfs4_stid （sc_count） 的引用，但不对 stateowner 进行引用。OpenLockStateId（） 仅转换该 STID，同样不采用任何引用。当 nfsd4_cstate_assign_replay（） 返回 -EAGAIN 时（重播所有者正在被拆散，RP_UNHASHED），它未在该路径上采用状态所有者引用。尽管如此，该错误处理还是调用了 nfs4_put_stateowner（stp->st_stateowner），丢弃函数从未获取的 so_count 引用，从而存在 stateowner refcount 下溢和释放后使用的风险，同时泄漏 stid 上保留的 sc_count 引用。泄露的 stid 引用也可停止并发 nfsd4_close_open_stateid（），等待 sc_count 终止。重试之前放弃实际持有的引用 -- stid。国家所有者通过 stid 持有的参考而存活。这反映了 nfsd4_process_open1（） 中的开放路径，其中 put 平衡路径显式持有状态所有者的引用。（CVE-2026-89688）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：mpu401：探测时检查卡索引有效性 mpu401 驱动程序盲目地相信探测时给定的 devptr->id 值在正确的卡索引范围内。对于驱动程序本身在模块探测时创建的设备来说没有问题，但如果设备通过 sysfs 接口手动绑定，则此情况可能为 -1 为无，这会导致对 index[] 和其他参数的 OOB 访问。添加卡片索引的健全性检查，如果其值超出范围则警告/更正。（CVE-2026-80969）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：picolcd：钳制 eeprom debugfs 读取到实际收到的字节 picolcd_debug_eeprom_read（） 信任 resp->raw_data[2] -- 设备在其 REPORT_EE_DATA 回复中提供的长度字节 -- 仅钳制到调用方的 read（） 计数： ret = resp->raw_data[2];如果 （ret > s） ret = s;if （copy_to_user（u， resp->raw_data+3， ret）） 它永远不会检查 resp->raw_size，即实际复制到 kmalloc'd struct picolcd_pending的 64 字节 raw_data[] 的字节数 picolcd_raw_event（）。返回长度字节为 0xff 的设备（或伪造的 picoLCD），读取计数 >= 255，使 copy_to_user（） 读取过去 raw_data[] ，进入相邻的 slab 内存，并通过 debugfs eeprom 文件将其返回到用户空间： 缺陷：
    KASAN：大小为 255 的 _copy_to_user 读取中的 slab-out-bound ...picolcd_debug_eeprom_read+0x214/0x2f0 [hid_picolcd] 同一文件中的调试转储路径在信任设备之前，已经对接收到的大小验证设备长度字节;本读物没有。该文件创建S_IRUSR（仅根）并且需要构建的设备，因此它既不可无权限也不可远程触发。将复制长度限制为 resp->raw_size - 3（实际收到的负载减去 3 字节标头），短回复的底线为 0。（CVE-2026-89628）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - zram：修复 writeback_store（） 修补程序系列中的越界访问 zram：修复重新初始化后过时的扫描边界。writeback_store（） 和 read_block_state（） 都在获取dev_lock之前从 zram->disksize 派生其表扫描边界。如果重置设备并使用该读取和锁定采集之间较小的磁盘大小重新初始化，则边界可以在扫描对新表进行操作时描述旧表。此漏洞可导致越界插槽访问。将两个边界计算移动到dev_lock下，以便每个边界在扫描过程中与表保持一致。保持补丁分开，因为受影响的接口源自不同的提交，并且可以独立向后移植。此修补程序（共 2 个）：writeback_store（） 在进行dev_lock之前计算表扫描边界。因此，重置，然后使用较小的磁盘大小重新配置，可在 writeback_store（） 等待锁定时替换 zram->table。一旦获得锁定，它会看到初始化设备，但会使用旧上限扫描新表，从而导致越界访问。按住 dev_lock 时计算页数，使扫描边界与受锁保护的表匹配。（CVE-2026-89718）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dm-pcache：验证磁盘上的几何字段 cache_info cache_segs_init（） 迭代 cache_info >n_segs 次索引 cache->segments[]，其大小根据缓存设备几何图形进行调整，并且 get_seg_id（） 从媒体上的cache_info和每个段next_seg链接获取每个段 ID。两者都来自仅通过固定的公共种子受到 CRC 保护的缓存设备元数据，因此无论谁在表加载 （CAP_SYS_ADMIN） 上提供缓存设备，便可对其进行控制：超大n_segs或超出范围的 ID 会导致对 cache->segments[] 的越界访问，以及对设备映射的野生 CACHE_DEV_SEGMENT（） 指针进行越界读取和写入，即从磁盘上的数据进行越界读取和写入。拒绝超过设备段计数的n_segs和超出范围的段 id，然后再使用两者。有效的元数据不受影响。（CVE-2026-80962）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ip6_tunnel：在 ip6_tnl_xmit（） 中使用 skb_cow_head（） ip6_tnl_xmit（） 可能需要扩展余量，然后才能推送外部 IPv6 和可选的封装标头。它目前通过 skb_realloc_headroom（） 执行此操作，复制 skb->sk 所有权，使用原始 skb，然后继续使用仅保留在其本地变量中的替换 skb 进行处理。只有当帮助程序之后不会失败时，这才是安全的。但此帮助程序仍有重新分配后错误退出。collect_md 隧道在替换后拒绝非 NONE 封装，ip6_tnl_encap（） 也可能在稍后发生故障。在这些情况下，帮助程序会在调用程序仍然只有原始 skb 指针时向调用程序返回错误。ip6_tnl_start_xmit（） 和 IPv6 GRE 路径在出错时都会释放调用程序 skb，因此最终可释放 ip6_tnl_xmit（） 已消耗的 skb。请使用 skb_cow_head（） 代替。它可提供所需的余量和可写性，而无需私自替换调用方拥有的 skb，因此之后的错误返回不会给调用方留下过时指针。以太网用户 ip6gretap 和 ip6erspan 在进入 ip6_tnl_xmit（） 之前，清除IFF_TX_SKB_SHARING并已调用 skb_cow_head（）。它们不依赖已删除的 skb_shared（） 重分配。这也使 IPv6 隧道路径与 ip_tunnel_xmit（） 一致。（CVE-2026-89563）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - crypto：iaa - 解压缩时软件回退前取消映射 dst 出现硬件分析错误时，通过软件回退进行解压缩重试，该回退会在仍映射 DMA_FROM_DEVICE 时将 req->dst 写入 CPU。当 SWIOTLB 启用时，后面的 dma_unmap_sg（） 会通过 req->dst 复制过时的退回缓冲区，从而损坏结果。回退运行前取消映射。异步路径内联取消映射;同步路径使用 -EAGAIN 发出重试信号，因此 iaa_comp_adecompress（） 在取消映射后运行回退。
    (CVE-2026-80945)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：修复异步 COPY 的过时 s2s_cp_stateids IDR 条目 对于异步 COPY，nfsd4_copy（） 在调用 dup_copy_fields（） 之前先调用 nfs4_init_copy_state（），因此s2s_cp_stateids IDR 指向 &u->copy->cp_stateid -- 下一个请求将重用的 per-rqstp COMPOUND 缓冲区中的内存。
    dup_copy_fields（） 仅将该值复制到async_copy中，因此整个背景副本的 IDR 插槽悬摆在临时缓冲区处。然后，任何 IDR 遍历器都会取消引用重用的请求内存：自助洗衣店会从中读取cs_type，如果字节看起来像是过期的NFS4_COPYNOTIFY_STID，则跟踪垃圾的 refcount_dec（）/idr_remove（）/kfree（）;manage_cpntf_state（） 通过 idr_find（） 具有相同的暴露风险。
    首先复制字段，然后在稳定async_copy上注册 stateid。结果>cb_stateid保持不变。（CVE-2026-89676）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - svcrdma：拒绝超出页面预算的读取列表 解码时会验证各个读取段长度，但并不能阻止请求者发送累计长度超过rq_pages数组预算的多个段。当一个段完全填充页面数组时，由于长度达到零，将绕过 svc_rdma_build_read_segment（） 中的运行时保护。后续段随后会访问位于 rq_pages[rq_maxpages] 的空哨兵插槽，从而导致 DMA 映射期间发生空指针取消引用。
    在所有读取区段中累积页面，并在解码时拒绝邮件，当总数会溢出页面预算时。（CVE-2026-89528）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：gadget：midi2：拆卸时删除默认 configfs 群组 f_midi2_alloc_inst（） 使用 configfs_add_default_group（） 为默认端点和默认区块创建默认 configfs 子群组，并将其内部引用计数设置为 1。但是，在 f_midi2_free_inst（） 中的函数拆卸或 f_midi2_ep_opts_release（） 中的 EP 清理期间，从不调用 configfs_remove_default_groups（），因此永远不会删除 refcount 并泄漏结构f_midi2_ep_opts和f_midi2_block_opts。在上述函数中添加缺少的 configfs_remove_default_groups（） 以正确释放结构。
    (CVE-2026-89735)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ceph：针对 MDS 信息 v2/v3 绑定num_export_targets数组 fs/ceph/mdsmap.c 中的 ceph_mdsmap_decode（） 会从每个 MDS 信息记录读取num_export_targets，并将解码光标前进 num_export_targets * sizeof（U32），而无需事先检查剩余的字节数。唯一能捕获失控光标 （*p > info_end） 的上界检查是在 info_v >= 4 上进行门控，因为info_v 2 和 3 的 info_end 保留为空。
    当监控发送 MDS 映射（其 per-mds 信息版本为 2 或 3，具有超大num_export_targets）时，光标会移动经过消息前端缓冲区，之后的导出目标循环会在越界内存上调用未经检查的 ceph_decode_32（）。内核客户端从其监控会话处理CEPH_MSG_MDS_MAP（net/ceph/mon_client.c 将其调度;fs/ceph/super.c 将其路由到 ceph_mdsc_handle_mdsmap（），后者将末端设置为前端缓冲区边界并调用 ceph_mdsmap_decode（））。因此，恶意或已被破坏的监控程序，或未签名/未加密的 messenger 会话中的在路径攻击者，可在客户端内核中造成越界读取;x86_64 KASAN 时，会在 ceph_mdsmap_decode（） 中报告为 slab-out-bound 读取。解码的值位于内部信息>export_targets[] 数组中，因此后果为内核越界读取，而不是信息泄漏给攻击者。影响：
    恶意或遭到破坏的 Ceph 监视器，发送 MDS 映射（per-mds 信息版本为 2 或 3，具有超大num_export_targets字段）会在 CephFS 客户端内核中触发越界读取。前进光标之前，请先为 export-targets 数组添加一个 ceph_decode_need（），以便对每个 info_v >= 2（而不仅仅是 info_v >= 4）强制实施边界。这反映了已经在同一函数中用于稍后m_data_pg_pools的 count-then-need 习语。通过 size_mul（） 计算 export-targets 字节计数，并在前进光标时重复使用检查过的长度，以便攻击者控制的num_export_targets乘法在溢出时无法关闭，而不是依赖之后的 kcalloc（） 防护。（CVE-2026-89650）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：修复服务器间 COPY 设置失败时的nfsd_file泄漏 当 nfsd4_setup_inter_ssc（） 失败时，nfsd4_copy（） 直接返回 nfserr_offload_denied，绕过 out： 标签，其中 release_copy_files（） 会丢弃 nfs4_preprocess_stateid_op（） 获取的nf_dst引用。每个失败的服务器间 COPY 都会泄漏一个nfsd_file，从而固定 file/inode/dentry/vfsmount。通过设置状态并跳转到 out： 而非直接返回进行修复。（CVE-2026-89680）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：intel-thc-hid：intel-quickspi：复制前验证报告大小 write_cmd_to_txdma（） 在 qsdev->report_buf 中构建输出报告，这是在 quickspi_alloc_report_buf（） 中分配给设备描述符派生max_report_len的堆缓冲区（触摸控制器为几百个字节）。它将调用程序提供的报告复制到该缓冲区：memcpy（write_buf->content， report_buf， report_buf_len）;HID 核心默认以 HID_MAX_BUFFER_SIZE （16384） 封装报告，并且 quickspi_hid_ll_driver 不设置max_buffer_size，因此长度无限到达驱动程序。hidraw SET_REPORT/SET_FEATURE ioctl 携带大于 max_report_len 的报告，因而report_buf攻击者所控制的长度和内容溢出。记录report_buf分配大小并拒绝复制之前不适合的报告，以匹配 intel-quicki2c 同级 （quicki2c_init_write_buf（）） 和 hid-goodix-spi 补丁中的等效防护。write_cmd_to_txdma（） 在相同缓冲区中将输出报告标头写入内容之前，因此也设置了分配大小以覆盖标头。这防止添加的边界拒绝最大大小的报告。（CVE-2026-89620）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当图像服务配置用于 HTTP（S） 基本认证时，OpenStack Ironic 可能会将 38.0.0 用户名和密码发送给非预期的远程主机。（CVE-2026-90461）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - i3c：master：svc：将 IBI 负载绑定到请求的 max_payload_len svc_i3c_master_handle_ibi（） 将 IBI 负载从 RX FIFO 读入 IBI 插槽。循环由硬件 FIFO 大小 （SVC_I3C_FIFO_SIZE） 限制，而不是插槽大小。slot->data 指向 IBI 池，其 i3c_generic_ibi_alloc_pool（） 大小为每个插槽 max_payload_len。svc_i3c_master_request_ibi（） 仅拒绝大于 SVC_I3C_FIFO_SIZE 的max_payload_len，因此驱动程序可以请求更小的 。MCTP-I3C 请求 1.然后，每个 readsb（） 都会复制控制器 RXCOUNT 字节（最多 31），而不检查插槽大小。
    发送的字节数多于插槽容纳的设备会通过插槽>数据写入，即对 IBI 池的越界写入。通过 dev->ibi->max_payload_len绑定循环，并将每个读取限制到插槽中的剩余空间，与 dw-i3c 相同的方法相同。设备仍可发送比请求的负载更多的内容。刷新 RX FIFO 中的剩余字节，以免它们泄漏到下一次传输。（CVE-2026-80951）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iomap：不释放不存在的完整性负载fs_bio_integrity_alloc如果区块设备上禁用了 PI 验证，可能就不会分配 bio 完整性负载。在 iomap_bio_read_folio_range_sync 中调用 fs_bio_integrity_free 之前检查该情况以避免空指针取消引用。使分支也涵盖 PI 验证 - 虽然fs_bio_integrity_verify无需完整性负载即可工作，但它需要一个实际执行有用的工作。（CVE-2026-89770）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dm-pcache：仅分发初始化的缓存段 get_cache_segment（） 将扫描段映射直至 cache->n_segs（即物理设备段计数），但 cache_segs_init（） 仅初始化前 cache_info >n_segs段。构建的 cache_info->n_segs 小于设备计数的图像会使其余 pcache_cache_segment struct 为零 （segment.data == NULL），分配器可将 1 交给 cache_kset_close（），后者会在不进行 NULL 检查的情况下写入返回段的数据指针。将分配器的搜索绑定到cache_info>n_segs，以便仅返回初始化的段。符合要求的缓存集n_segs等于设备段计数，因此这会拒绝任何合法内容。（CVE-2026-80956）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mm/mglru：修复和删除多余的不可驱逐的作品集处理 sort_folio（） 具有用于移动不再可驱逐但仍位于生成列表中的作品集的快捷方式。但是，此快捷方式有缺陷。它不遵守PG_lru使用约定，并且存在更严重的问题。不可逐出的作品集不会在 lists[LRU_UNEVICTABLE] 中进行线程处理，因此可重用 folio->lru 来保存作品集>mlock_count（请参阅 lruvec_init（） 中的注释）。因此，lruvec_add_folio（） 为它们跳过 list_add（），并且将 Folio 变为不可驱逐的每个其他地方都会显式初始化mlock_count：lru_add（） 将其设置为 0，
    __mlock_folio（） 和 __mlock_new_folio（） 将其设为 ！！folio_test_mlocked（对开本）。sort_folio（） 不设置任何内容，其正上方的 lru_gen_del_folio（） 可能已经通过 list_del（） 毒化了 folio->lru，因此mlock_count最终会对 LIST_POISON2 产生别名，其读0x122，即 290。结果用户可见。在 munlock 上，__munlock_folio（） 递减虚假计数，发现它仍然非零并在清除PG_mlocked之前退出，因此作品集保持不可驱逐，并且 Mlocked 会计保持膨胀状态，直到作品集被释放。该快捷方式还以错误的顺序接触 LRU 标志。它会在 PG_lru 仍处于设置状态时调用 lru_gen_del_folio（），因此并发 folio_test_clear_lru（）（） （例如 compaction、folio_isolate_lru（）））可以在已从生成列表中删除的 folio 上成功执行，这可能导致意外行为。因此，通过将它们隔离为普通作品集并让通用收缩路径剔除它们来修复它。这与典型的 LRU 行为相匹配，并且对通用逐出或隔离行为没有明显影响。也没有性能问题，这样的对开本经历了一次，然后它就永远从生成列表中消失了。（CVE-2026-89757）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dm-pcache：修复 kset_replay（） 中的释放后使用和无效的段操作 在 kset_replay 中，当 key->seg_gen 过时 （key->seg_gen < key->cache_pos.cache_seg->gen），会调用 cache_key_put（key），但随后将 key->cache_pos.cache_seg 作为 cache_seg_get（） 的参数进行访问。这是对已释放密钥内存的释放后使用。尽管内存池回收内存实际上不会立即回收或覆盖，这仍然是一个潜在的 UAF 缺陷。此外，对于已过期的无效密钥，设置缓存>seg_map位并调用 cache_seg_get（） 是不合理的，因为相应的段数据不再有效。通过在 gen 检查之后移动 cache_seg_get（） 和 __set_bit（），从而仅对有效密钥执行，并使用 continue 跳过无效密钥，修复了这两个问题。（CVE-2026-80955）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommufd：修复了自我测试 IOPF 报告中的 UAF IOMMUFD selftest TRIGGER_IOPF在未与 PASID 分离同步的情况下从群组>pasid_array借用附加句柄，然后并发 iommu_report_device_fault（） 可以在分离擦除句柄并释放后备结构iommufd_attach_handle取消引用借用句柄的域指针。然后TRIGGER_IOPF取消引用释放的句柄，从而造成 UAF。通过在 mock_dev 中添加iopf_rwsem以遵循实际驱动程序的预期设计进行修复。在整个 iommu_report_device_fault（） 调用中保持其读取端，并在附加、分离或替换设备域的每个路径上保持其写入端。这可在删除旧的附加句柄或 IOPF 故障参数之前阻断新报告并耗尽正在传输的报告。还在注册模拟设备时采取写入端，因为它可以调用模拟驱动程序的默认域附加回调。（CVE-2026-89445）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：修复 nfsd4_ff_encode_layoutget 中的 XDR 长度计算 nfsd4_ff_encode_layoutget（） 中的 XDR 缓冲区大小计算存在多个错误，可导致越界写入或向客户端泄漏未初始化的内核内存： - fh_len 不考虑文件句柄数据上的 XDR 填充 - uid 和 gid 长度使用 8 + len，但 xdr_encode_opaque（） 实际写入 4 + xdr_align_size（len） 字节 - ds_len 省略标记和 stats_collect_hint 字段（8 字节），而 len 的标头常量高估了 8 个字节 -- 这些会部分抵消，但会留下一个净不匹配问题。最坏的情况是短字符串（例如，uid=0、gid=0 具有奇数大小的文件句柄），其中函数最多写入 5 个字节超出预留的 XDR 缓冲区。相反，当字符串长度恰好为 4 字节对齐时，保留过大，过时的缓冲区内容被发送到客户端。通过在 ds_len 计算中明确拆分每个编码字段、对所有可变长度 opaque 字段使用 xdr_align_size（），并修正标头常量来修复此问题。（CVE-2026-89674）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipmi：ipmb：验证写入消息长度 ipmb_write（） 在验证长度字节之前读取消息字段。零或短写入可读取未初始化的堆栈字节。长度小于 SMBus 标头时，区块写入长度会下溢。需要非空缓冲区和最小 IPMB 请求长度。解析消息前还需要长度字节加上负载。（CVE-2026-81007）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - s390/cpum_cf：通过准备/死回调处理 CPU 热插拔 在运行期间添加 CPU 热插拔时，命令“perf stat -e cycles -- <command>”命令会造成内核崩溃。根本原因是在第一次事件初始化时分配结构cpu_cf_events。分配是动态的，具有任务上下文的第一个事件为每个在线 CPU 创建这样的结构。这还不够。CPU 可能在事件创建期间离线，可在 perf 运行时设为在线。例如，命令 # echo 0 > /sys/devices/system/cpu/cpu1/online # perf stat -e cycles -i -- stress-ng -t10s --matrix X # sleep 1 # echo 1 > /sys/devices/system/cpu/cpu1/online 为 CPU 0,2-X 创建事件。由于事件是使用任务上下文创建的，因此计划程序最终将在 CPU1 上计划程序。由于 perf 调用时该 CPU 未在线，此 CPU 未创建和初始化任何每个 CPU 事件基础架构。因此，当计划程序在 CPU1 上运行 stress-ng 时，函数 cpumf_pmu_add（） 会引用空指针：struct cpu_cf_events *cpuhw = this_cpu_cfhw（）;使任务 stress-ng 能够在 CPU1 上运行后，将调用此函数调用。并且 this_cpu_cfhw（） 返回 NULL。结果是错误：无法处理虚拟内核地址空间中的内核指针取消引用 故障地址：0000000000000000 TEID：0000000000000483 .... Krnl PSW ： 0404d00180000000 000003ef8291fd0c （cpumf_pmu_add+0x3c/0x80） ....
    调用跟踪： [<000003ef8291fd0c>] cpumf_pmu_add+0x3c/0x80 [<000003ef82bb5e3e>] event_sched_in+0xae/0x190 [<000003ef82bb60d6>] merge_sched_in+0x1b6/0x390 [<000003ef82bb65b8>] visit_groups_merge.constprop.0.isra.0+0x308/0x5b0 [<000003ef82bb689a>] pmu_groups_sched_in+0x3a/0x50 [<000003ef82bb6a30>] ctx_sched_in+0x180/0x260 [<000003ef82bb780c>] perf_event_context_sched_in+0x11c/0x2d0 [<000003ef82bb79ee>] __perf_event_task_sched_in+0x2e/0xc0 [<000003ef82994834>] finish_task_switch.isra.0+0x1a4/0x250 .... Last breaking-event-address： [<000003ef8291f1d8>] this_cpu_cfhw+0x38/0x40 只有当使用 CPUMF 设施且计划程序为此类进程选择随机 CPU 以运行时，才会出现此问题。计划程序通过 PMU 回调函数 pmu：：add（） 和 pmu：:d el（） 启用 CPUMF 基础架构。引入 CPU 热插拔准备/死回调对，用于在 CPU 离线时创建和删除每个 CPU 计数器数据。对跟踪每个 CPU （cpu == -1） 的用户数量，即perf_event_open（） 事件（包含任务上下文和 /dev/hwctr 设备会话）在受pmc_reserve_mutex保护的新计数器 cpu_cf_root：：tskcnt。这可确保在选择新 CPU 以运行各任务上下文进程时基础架构可用。在 cpum_cf_free_root（） 和 cpum_cf_free_cpu（） 中，确保在释放数据前将数据结构的引用指针设置为 NULL，以防止中断处理程序访问过时数据。[gor@linux.ibm.com：更改提交消息]（CVE-2026-89460）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/amd/display：跳过更新处于转换状态的 HDCP 配置 过渡状态没有应跳过配置 HDCP 例程的有效dm_stream_ctx。仅当创建了有效的流时，该例程才有效通过。（CVE-2026-89773）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：cec：stm32：防止 RX 溢出上的越界写入 stm32_rx_done（） 使用 rx_msg.len 作为写入索引将每个收到的 CEC 字节附加到 rx_msg.msg[]，在每个 RXBR （receive-byte-ready） 中断上递增该字节，而不根据缓冲区大小进行检查： cec->rx_msg.msg[cec->rx_msg.len++] = val & 0xFF;rx_msg.msg[] 是 struct cec_msg 中的固定 CEC_MAX_MSG_SIZE （16） 字节数组，rx_msg.len 仅在 RXACKE/RXOVR 上或在完成消息 （RXEND） 后重置。RXEND 之前接收的字节数由远程 CEC 设备（其设置 EOM）决定，而非由驱动程序决定。不断发送字节而不结束消息的对等机会反复驱动 RXBR，进而将 rx_msg.len 推过 16，并将对等机控制的字节越界写入周围的内存。在正常操作中，只要驱动程序从 IRQ 线程探测并启用接收，即可在正常操作中访问此权限，无需任何本地权限。CEC 核心中的长度检查在存储字节之后在消费者端运行，因此无法防止溢出。
    在存储之前绑定驱动程序中的索引，就像其他平台 CEC 驱动程序已经执行的操作一样 （例如
    tegra_cec），丢弃超长帧的多余字节。由静态分析工具 CodeQL 发现。
    (CVE-2026-89725)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSD：防止委派撤销期间客户端释放后使用 委派 stateid 仅包含指向其拥有nfs4_client的裸指针，不会使其保持活动状态。由于 __destroy_client（） 在 free_client（） 运行前耗尽cl_delegations和cl_revoked，客户端才存活其 stateid。
    nfs4_laundromat（） 打破了这种变化：它从 cl_delegations 中反哈希过期委派，终止deleg_lock，然后 revoke_delegation（） 将其重新链接到 cl_lock 下的cl_revoked。在该窗口中，委派不在列表中，因此 client_has_state（） 不能报告任何剩余状态。每条拆解路径首先要求cl_rpc_users为零，但自助洗衣店没有这样的引用。因此，撤回的委派刚刚超时的客户端可在 revoke_delegation（） 仍准备取消引用cl_lock时联系到 free_client（），即释放后使用。通过撤消固定客户端和cl_rpc_users以便拆卸区块直到其完成，然后从cl_revoked获得委派。已经到期的客户端会获得自己的收益，因此跳过它并保留委派del_recall_lru。（CVE-2026-89659）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smb：客户端：还原 is_valid_oplock_break（） 提交 83bfbd0bb902 中的data_offset边界 （cifs：从 smb_hdr 中删除 RFC1002 标头） 更改了测量此边界的数量。用来是 srv->total_read减去total_read随后包含的 4 字节 RFC1002 前导码，因此是 SMB 消息长度。同一提交停止计数序言，并机械地替换为 srv->total_read
    - srv->pdu_size 留下一个完全为零的表达式：standard_receive3（） 读取 MID_HEADER_SIZE（） 个字节，然后完全读取 pdu_length - MID_HEADER_SIZE（），将两者添加到total_read。因此 len 为 0，其下方的减法将进行封装，并且没有任何__u32 DataOffset 可以超过该结果，因此来自提交 097f5863b1a0（cifs：is_valid_oplock_break（） 中的读取溢出）的检查不再拒绝任何内容。使用 total_read，它现在是消息本身的长度。（CVE-2026-89630）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ip6_gre：修复 NBMA 隧道的硬件标头长度 ip6gre_tnl_link_config_route（） 会在设置header_ops时将较低设备的硬件标头长度累积到 dev->hard_header_len 中。这对 header_ops 的用户都是不正确的。ip6gretap 和 ip6erspan 具有固定的以太网硬件标头长度。对于 NBMA ip6gre 隧道，ip6gre_header（） 仅创建 GRE 报头、可选的 FOU 或 GUE 报头以及外部 IPv6 报头。较低的设备标头是以后所需的余量，而不是隧道设备硬件标头的一部分。保持下方设备标头处于needed_headroom。仅为具有 header_ops 的 ARPHRD_IP6GRE 设备设置hard_header_len隧道标头长度，而 tap 和 erspan 设备的固定以太网标头长度不变。（CVE-2026-89562）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：rtw89：pci：添加 .shutdown 回调以在重新启动时停止 rfkill 轮询 自从引入了硬件 rfkill 轮询以来，arm64 平台在热重新启动期间可因异步 SError 而发生错误：CPU8 上的 SError 中断，代码0x00000000be000011 -- SError 工作队列：events_power_efficient rfkill_poll [rfkill] rtw89_pci_ops_read8+0x94/0x160 [rtw89_pci] rtw89_core_rfkill_poll+0x50/0x1e0 [rtw89_core] rtw89_ops_rfkill_poll+0x40/0x68 [rtw89_core] ieee80211_rfkill_poll+0x3c/0x70 [mac80211]cfg80211_rfkill_poll+0x40/0x2a0 [cfg80211] rfkill_poll+0x30/0x88 [rfkill] 内核错误 - 不同步：
    异步 SError 中断 在重新启动路径上，内核仅运行 device_shutdown（），它会调用每个驱动程序的 .shutdown 回调;不会调用 .remove。rtw89 PCI 驱动程序没有 .shutdown 回调，因此在平台去除 PCIe 链路时，没有任何内容可以阻止 rfkill 轮询工作。一旦链接消失，从轮询处理程序读取的下一个 MMIO 将以无响应设备为目标，并在 arm64 上被报告为致命异步 SError。添加 rtw89_pci_shutdown（），连接到所有 rtw89 PCI 设备驱动程序，用于设置新的 RTW89_FLAG_SHUTDOWN 标记（镜像 USB RTW89_FLAG_UNPLUGGED模式）。设置该标志后，rtw89_ops_rfkill_poll（） 会提早返回，因此关机开始后不会向芯片发出 MMIO 读取，因此不再发生 SError。这不会从 .shutdown 调用完整的 .remove 路径，以保持关闭处理程序最小化，并避免运行非幂等拆卸两次。（CVE-2026-80939）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - svcrdma：拒绝使上拉缓冲区溢出的内联回复 RPC-over-RDMA 客户端可以请求回复，例如 NFS READ 负载，而无需提供写入列表或回复区块来承载它。当此类回复需要比设备的发送队列支持的更多的分散/收集条目时，svc_rdma_pull_up_needed（） 选择上拉，svc_rdma_pull_up_reply_msg（） 将整个回复线性化为 sctxt->sc_xprt_buf。该缓冲区只有 sc_max_req_size 字节，而此路径上的回复仅由客户端的请求绑定，因此 svc_rdma_xb_linearize（） 会通过缓冲区的末尾进行复制并破坏相邻的 slab 内存。
    超长长度随后存储在 sc_sges[0].length 中并发布，因此设备也会超出映射区域进行读取。SGE 耗尽分支是唯一可以超过缓冲区的上拉路径：阈值分支仅上拉小于 RPCRDMA_PULLUP_THRESH 的回复，符合设备 SGE 预算的回复直接发送，无需线性化。当 svc_rdma_pull_up_needed（） 上拉的回复无法适合sc_max_req_size时使 （） 报告 -E2BIG，并按照 RFC 8166 部分 4.5.3 的指示ERR_CHUNK使请求失败，而不是丢失连接。帮助程序不再回答简单的是/否问题：它现在报告上拉、无上拉或 -E2BIG 对于太大而无法线性化的回复。将 svc_rdma_pull_up_needed（） 重命名为 svc_rdma_check_pull_up（），以便其名称不再暗示布尔谓词。
    (CVE-2026-89530)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2：在读取元数据时验证目录索引条目计数 ocfs2_validate_dx_leaf（） 和 ocfs2_validate_dx_root（） 在索引目录块到达更高级别的调用程序之前检查其 ECC 和签名，但两个验证器都未根据保存它们的块的容量限制ocfs2_dx_entry_list计数。然后 ocfs2_dx_dir_search（） 行走 （i = 0; i < le16_to_cpu（entry_list->de_num_used）; i++） dx_entry = &entry_list->de_entries[i];超过 de_num_used 个条目，没有边界检查。entry_list为 dx_leaf->dl_list（从 ocfs2_read_dx_leaf）或内联根的 dx_root->dr_entries。构建的磁盘映像可设置 de_num_used （和 de_count，即
    __counted_by_le（） 绑定为 de_entries） 以0xffff并使遍历读取远超过4KB 元数据块的末尾，从而提供可在挂载映像后从索引目录上的任何路径查找、stat（） 或 open（） 访问的 slab 越界读取。提交 775c17386a6f（ocfs2：在区块读取期间验证dx_root盘区列表字段）已为非内联dx_root dr_list边界，但未检查内联dr_entries路径和dx_leaf dl_list。为两个条目列表添加相同的读取时间验证：
    de_count 必须等于块的容量 （ocfs2_dx_entries_per_leaf（）/per_root（）），并且de_num_used不得超过 de_count，从而在 ocfs2_dx_dir_search（） 遍历超出范围的条目数组之前使用 -EFSCORRUPTED 拒绝损坏的元数据。对叶或内联根进行格式化时，de_count始终完全写为块容量，因此相等性检查不会拒绝任何有效的图像。由 0sec 的自动化安全研究工具 （https://0sec.ai)。(CVE-2026-89492)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jbd2：按已检查的检查点缓冲区绑定的 shrinker 扫描 jbd2 shrinker 当前仅考虑其针对nr_to_scan成功释放的检查点缓冲区。因此，忙碌的缓冲区不会消耗扫描预算。如果检查点事务所包含的缓冲区大多为繁忙，则 shrinker 可在保留日志>j_list_lock的同时扫描其整个检查点列表。大型检查点列表可导致过长的锁定保持时间，并让其他 CPU 处于j_list_lock状态旋转，从而造成软锁定或 RCU 等待。将nr_to_scan传递到 journal_shrink_one_cp_list（），并针对检查的每个缓冲区（包括忙碌的缓冲区）递减。从检查点清除路径传递 NULL，因此保留其现有的完整列表行为。这恢复了将 journal_shrink_one_cp_list（） 更改为始终扫描完整检查点列表之前存在的扫描预算语义。（CVE-2026-89567）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NFSD：防止客户端拆卸期间锁所有者释放后使用 __destroy_client（） 释放客户端的开放所有者，但唯一引用为块锁 （nbl） 的锁定所有者仍处于cl_ownerstr_hashtbl状态。
    client_has_state（） 不计算裸所有者，因此 DESTROY_CLIENTID 可在此类所有者在场的情况下联系 __destroy_client（）。然后 __destroy_client（） 遍历表，在无引用的情况下对每个所有者调用 remove_blocked_locks（）。释放被阻止的锁定会终止通过 flc_owner 保留的所有者引用。per-net laundromat 从 nn->blocked_locks_lru 获取封锁的锁定，与客户端状态无关。这两条路径仅针对列表 splice 共享blocked_locks_lock，而不是所有者的生存期。因此，自助洗衣店在 __destroy_client（） 取消引用时释放所有者，即 remove_blocked_locks（） 中的空取消引用。
    nfsd4_release_lockowner（） 在同一调用中持有一个引用;__destroy_client（） 不会。在步行过程中按住 cl_lock，获取引用并对每个所有者进行反哈希，然后将其放在 remove_blocked_locks（） 和 nfs4_put_stateowner（） 之前，后者需要blocked_locks_lock和cl_lock。
    (CVE-2026-89662)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：检查 nfsd4_create（） 中的 nfsd4_acl_to_attr（） 返回值 nfsd4_create（） 存储处于状态的 nfsd4_acl_to_attr（） 的返回值，但 switch（create->cr_type） 块会在每个分支中无条件覆盖它。系统会静默弃用 ACL 转换错误，并且 CREATE 继续进行，但没有请求的 ACL。在 nfsd4_acl_to_attr（） 之后添加提前退出检查，以匹配 nfsd4_setattr（） 中已使用的模式。[ cel：偏好 NFS4ERR_BADTYPE 而不是 NFS4ERR_ATTRNOTSUPP ]（CVE-2026-89693）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smb：客户端：拒绝字节计数太小的树状连接响应 CIFSTCon（） 在含有服务器的 ByteCount 减去 2 的字节区域上绑定其 strnlen（），其作为 int 变为负数并转换为巨大size_t。后面的减法封装了__u16 bytes_left，这就是 cifs_strndup_from_utf16（） 的边界：针对 ~16 KB cifs_req_poolp对象的 65535 的边界从 slab 对象的末尾流出，字节通过 /proc/fs/cifs/DebugData 中的 tcon->nativeFileSystem 到达用户空间。拒绝对解析器消耗的内容而言太小的字节区域。两个字节是它可以消耗的最小字节，并且没有符合一致的响应会承载更少的字节。新的跟踪点是第 129 个smb_eio_trace条目，__mode（字节）无法表示该条目，因此属性随之附带。（CVE-2026-89631）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ceph：限制 __build_xattrs（） 中的 xattr 值长度 __build_xattrs（） 一次解码一个属性 MDS 提供的 xattr blob。对于每个属性，它读取 32 位名称长度，前进超过名称字节，读取 32 位值长度，记录值指针，并前进超过值字节。使用 ceph_decode_32_safe（） 读取两个长度字段，但值字节本身通过裸 p += len 和不ceph_decode_need（） 检查 len 字节是否保留在 blob 中。对于除最后一个属性之外的每个属性，下一个迭代对以下名称长度的 ceph_decode_32_safe（） 会隐式验证上一个值是否未超过 blob 末尾。最终属性没有后续属性，因此永远不会根据 blob 边界检查其解码值长度。恶意或遭到破坏的元数据服务器可设置最后一个属性的值长度，大于 blob 中实际存在的字节。blob 是专用的 kvmalloc（） 分配，大小与线路长度（ceph_fill_inode（） 中的 ceph_buffer_new（））大小。
    __set_xattr（） 以 xattr->val_len 逐字记录超大长度，之后的 getxattr（2） 将 memcpy（value， xattr->val， xattr->val_len） 运行到用户提供的缓冲区，将超过分配末尾的字节复制回用户空间。影响：恶意元数据服务器通过 CephFS 文件上的 getxattr（2） 将相邻内核堆字节泄露给本地用户。添加缺失的 ceph_decode_need（），以便最终属性上的越界值长度无法解码并返回 -EIO 而非存储。
    (CVE-2026-89649)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/cxgb4：在删除 c4iw_uld_state_change（） 队列reg_work释放设备以注册 RDMA 设备时释放设备之前取消reg_work。c4iw_remove（） 可在这项工作待定或运行时释放 ctx->dev，让 c4iw_register_device（） 访问释放的设备。卸下设备之前取消reg_work。注册失败时，注册工作可能会终止 ctx->dev，因此在此情况下，请勿再次取消注册或取消分配。此问题由内部静态分析工具发现。（CVE-2026-89510）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
345096	Linux Distros 未修补的漏洞：CVE-2026-89759	medium
345095	Linux Distros 未修补的漏洞：CVE-2026-89565	medium
345094	Linux Distros 未修补的漏洞：CVE-2026-89539	medium
345093	Linux Distros 未修补的漏洞：CVE-2026-89661	high
345092	Linux Distros 未修补的漏洞：CVE-2026-89448	critical
345091	Linux Distros 未修补的漏洞：CVE-2026-80938	medium
345090	Linux Distros 未修补的漏洞：CVE-2026-89500	high
345089	Linux Distros 未修补的漏洞：CVE-2026-89720	high
345088	Linux Distros 未修补的漏洞：CVE-2026-89456	high
345087	Linux Distros 未修补的漏洞：CVE-2026-89745	high
345086	Linux Distros 未修补的漏洞：CVE-2026-89488	high
345085	Linux Distros 未修补的漏洞：CVE-2026-89657	high
345084	Linux Distros 未修补的漏洞：CVE-2026-80933	high
345083	Linux Distros 未修补的漏洞：CVE-2026-89688	critical
345082	Linux Distros 未修补的漏洞：CVE-2026-80969	high
345081	Linux Distros 未修补的漏洞：CVE-2026-89628	medium
345080	Linux Distros 未修补的漏洞：CVE-2026-89718	high
345079	Linux Distros 未修补的漏洞：CVE-2026-80962	high
345078	Linux Distros 未修补的漏洞：CVE-2026-89563	high
345077	Linux Distros 未修补的漏洞：CVE-2026-80945	critical
345076	Linux Distros 未修补的漏洞：CVE-2026-89676	critical
345075	Linux Distros 未修补的漏洞：CVE-2026-89528	high
345074	Linux Distros 未修补的漏洞：CVE-2026-89735	high
345073	Linux Distros 未修补的漏洞：CVE-2026-89650	critical
345072	Linux Distros 未修补的漏洞：CVE-2026-89680	high
345071	Linux Distros 未修补的漏洞：CVE-2026-89620	high
345070	Linux Distros 未修补的漏洞：CVE-2026-90461	medium
345069	Linux Distros 未修补的漏洞：CVE-2026-80951	medium
345068	Linux Distros 未修补的漏洞：CVE-2026-89770	high
345067	Linux Distros 未修补的漏洞：CVE-2026-80956	medium
345066	Linux Distros 未修补的漏洞：CVE-2026-89757	medium
345065	Linux Distros 未修补的漏洞：CVE-2026-80955	high
345064	Linux Distros 未修补的漏洞：CVE-2026-89445	high
345063	Linux Distros 未修补的漏洞：CVE-2026-89674	critical
345062	Linux Distros 未修补的漏洞：CVE-2026-81007	high
345061	Linux Distros 未修补的漏洞：CVE-2026-89460	medium
345060	Linux Distros 未修补的漏洞：CVE-2026-89773	high
345059	Linux Distros 未修补的漏洞：CVE-2026-89725	high
345058	Linux Distros 未修补的漏洞：CVE-2026-89659	critical
345057	Linux Distros 未修补的漏洞：CVE-2026-89630	critical
345056	Linux Distros 未修补的漏洞：CVE-2026-89562	high
345055	Linux Distros 未修补的漏洞：CVE-2026-80939	medium
345054	Linux Distros 未修补的漏洞：CVE-2026-89530	critical
345053	Linux Distros 未修补的漏洞：CVE-2026-89492	critical
345052	Linux Distros 未修补的漏洞：CVE-2026-89567	medium
345051	Linux Distros 未修补的漏洞：CVE-2026-89662	critical
345050	Linux Distros 未修补的漏洞：CVE-2026-89693	medium
345049	Linux Distros 未修补的漏洞：CVE-2026-89631	critical
345048	Linux Distros 未修补的漏洞：CVE-2026-89649	critical
345047	Linux Distros 未修补的漏洞：CVE-2026-89510	high

检测

Nessus 的 Misc. 系列

medium

medium

medium

high

critical

medium

high

high

high

high

high

high

high

critical

high

medium

high

high

high

critical

critical

high

high

critical

high

high

medium

medium

high

medium

medium

high

high

critical

high

medium

high

high

critical

critical

high

medium

critical

critical

medium

critical

medium

critical

critical

high