Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/log：修复空消息长度上的越界读取 drm_log_draw_kmsg_record（） 访问 s[len - 1] 剥离末尾换行符，但 len 无符号 int。如果 len 为 0，减法将封装为 UINT_MAX，从而导致越界读取。当 len 为 0 时添加过早返回。（CVE-2026-80741）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ovpn：在取消引用前确保套接字归 ovpn 所有sk_user_data 某些子系统（例如 BPF SOCKMAP）设置sk_user_data但实际上没有设置encap_type。因此，在取消引用sk_user_data之前，必须确保该类型为 ovpn 预期的类型。否则可能会导致越界读取。
    (CVE-2026-80735)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 稳压器：fp9931：修复 VPOS/VNEG 电压选择器表 VPOSNEG_table[] 映射与数据手册不匹配 FP9931 。数据手册将 VPOS/VNEG 电压映射定义为：00h-04h -> 7.04V （-7.04V） 05h -> 7.26V （-7.26V） 06h -> 7.49V （-7.49V） ...28h-3Fh -> 15.06V （-15.06V） 但是， VPOSNEG_table[] 有两个问题： 1. 选择器 0x00~0x04 应全部映射到 7.04V （5 个条目），但表中有 6 个条目 7.04V，导致所有后续条目移动一个位置。2. 选择器 0x29~0x3F 应全部钳制为 15.06V （23 个条目），但表中只有 41 个条目。任何高于 0x28 的选择器值都会导致越界表访问。通过删除重复 7.04V 的条目并附加缺少的 23 个钳制 15.06V 条目修复了这两个问题，使表的正确大小为 64 个条目 （0x00~0x3F）。
    (CVE-2026-80745)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：clk: qcom: dispcc-eliza: Fix disp_cc_mdss_mdp_clk_src RCG stall on Eliza EVK Eliza EVK (eliza-cqs-evk.dts) does not have display enabled, however its Display Clock Controller is enabled and references parent clocks from DSI PHYs, which causes clock reparenting issues during probe (init) and warning on Eliza EVK: disp_cc_mdss_mdp_clk_src:
    rcg didn't update its configuration. WARNING: drivers/clk/qcom/clk-rcg2.c:136 at update_config+0xd4/0xe4, CPU#1: udevd/273 ... update_config (drivers/clk/qcom/clk-rcg2.c:136 (discriminator 2)) (P) clk_rcg2_shared_disable (drivers/clk/qcom/clk-rcg2.c:1471) clk_rcg2_shared_init (drivers/clk/qcom/clk-rcg2.c:1540) __clk_register (drivers/clk/clk.c:3959 drivers/clk/clk.c:4368) devm_clk_hw_register (drivers/clk/clk.c:4448 (discriminator 1) drivers/clk/clk.c:4672 (discriminator 1)) devm_clk_register_regmap (drivers/clk/qcom/clk-regmap.c:104) qcom_cc_really_probe (drivers/clk/qcom/common.c:418) qcom_cc_probe (drivers/clk/qcom/common.c:445) disp_cc_eliza_probe (dispcc-eliza.c:?) dispcc_eliza platform_probe (drivers/base/platform.c:1432) (CVE-2026-80746)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Windows 上的 OpenVPN 2.1_rc10 和 _alpha1 2.6.222.7中的 2.7.6 参数解析问题允许经过认证的远程用户通过构建的证书主题 （CVE-2026-84256） 执行任意命令

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mm/huge_memory：在 folio 拆分之前初始化工作集状态 xas_try_split（） 为页面缓存xa_nodes添加了__GFP_ACCOUNT，但 __folio_split（） 使xa_state的xa_lru处于未设置状态。这允许实时的、充满 memcg 的xa_node存在，而无需链接到映射的shadow_nodes list_lru;稍后 reclaim 遍历list_lru时会触发 VM_WARN_ON（！css_is_dying（））。使用 mapping_set_update（） 在xa_state上安装工作集更新回调和shadow_nodes list_lru。（CVE-2026-80729）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - pmdomain：mediatek：修复 of_node_put（） 后剩余的 %pOF scpsys_get_bus_protection_legacy（） 从设备树节点查找多个旧总线保护 regmap。两个错误路径在检查 regmap 查找是否失败之前放置设备节点，但在失败时仍会通过 %pOF 将该节点传递到 dev_err_probe（）。如果 of_node_put（） 丢弃最后一个引用，则之后的 %pOF 格式可取消引用释放的设备节点。保留节点引用，直到 infracfg 和 SMI 查找路径中发出错误消息之后。还应在丢失 SMI phandle 时在返回前终止 SMI 节点。
    (CVE-2026-80750)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NToPNG 是一个基于 Web 的网络流量监控应用程序。在及之前版本6.7.06.7.260717中，管理 ntopng 标签/徽标功能“POST /lua/rest/v2/delete/tag/tag.lua”和“POST /lua/rest/v2/edit/tag/tag.lua”的两个 REST v2 端点完全不执行授权检查。任何经过认证的用户（包括非管理员（非特权）帐户）都可删除或重命名系统中的任何标签，包括管理员创建的标签。版本 6.7.260718 包含一个补丁。(CVE-2026-84989)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - OpenVPN 2.0.0 通过2.6.222.7和_alpha1 2.7.6 Windows 允许经认证的本地用户通过命名 IPC 对象 （CVE-2026-82312） 上的空 DACL 造成拒绝服务

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - thunderbolt：修复带宽群组预留索引，有效带宽群组 ID 的范围为 1 到 MAX_GROUPS，同时保留群组 ID 0。tb_consumed_dp_bandwidth（） 直接使用组 ID 来编制其本地 group_reserved[] 数组索引。数组当前有MAX_GROUPS条目，所以其有效索引为 0 到 MAX_GROUPS - 1。因此，组 ID MAX_GROUPS 访问末尾之后的一个元素，对数组求和时不包括最后一个组的预留带宽。提供 group_reserved[] MAX_GROUPS + 1 条目，以便直接组 ID 索引涵盖保留的 ID 0 和有效 ID 1 到 MAX_GROUPS。
    (CVE-2026-80736)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/connector/hdmi：修复越界内存读取 辅助函数将给定的音频 infoframe 复制到连接器的副本中，但使用的是目标（通用目标，大小可容纳许多不同的数据块）的大小，而不是源（一种非常具体的数据块类型）。因此，它从 28 字节的分配中复制 60 字节的数据。通过改用源大小，结合源大小实际小于目标时的构建缺陷修复此问题。我在 KASAN 下运行 KUnit 测试（同时调试完全其他东西）。在现实世界中，它似乎不太可能造成实际问题。它是读取而非写入，因此不会损坏任何内存。但是，它可能会从页面末尾掉落，并造成 accvio 缺陷。（CVE-2026-80749）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - OpenVPN 2.7_alpha1 2.7.6 中的 Windows 交互服务中错误的缓冲区大小计算允许经认证的本地用户通过构建的 NRPT 输入造成内存损坏或泄露敏感信息。（CVE-2026-78221）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - OpenVPN 2.5.0 通过 2.7.6 Windows 使用 tap-windows6 驱动程序允许攻击者通过构建的 DOMAIN-SEARCH 条目 （CVE-2026-81738） 触发越界写入

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - python-jose 无法 3.5.0 正确验证 HMAC 初始化中的非对称密钥，接受缺少 PEM armor 或 SSH 前缀的 DER 编码公钥。持有该服务公钥的攻击者可以伪造 HS256 令牌，在算法未受到明确限制时通过验证。这是针对 CVE-2024-33663的不完整修复。（CVE-2026-85394）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Ubuntu Linux - [GHSA-g89c-p67h-r497：通过嵌套的 'iden'/'auxl' 项中的重复 Alpha 平面，在'scale_nearest_neighbor（）'中造成堆缓冲区溢出] （CVE-2026-84383）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - pmdomain：mediatek：mfg：初始化 mtk_mfg_attach_dev（） 中的 prev_o mtk_mfg_attach_dev（） 在其循环的第一次迭代时读取prev_o，在循环正文末尾分配 prev_o （prev_o &; prev_o->freq == o->freq）。在第一次迭代时，评估prev_o读出一个不确定的值。如果为非 NULL，则该条件会取消引用过时或无效的指针，从而可能导致错误或错误地跳过第一个 OPP。将prev_o初始化为 NULL。这也符合意图：在第一次迭代时没有以前的 OPP 可以进行比较。通过 Clang 的 -Wconditional-uninitialized 发现。
    (CVE-2026-80751)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xfrm：避免 NAT keepalive 工作中的锁定反转 nat_keepalive_work（） 遍历状态表而 xfrm_state_walk（） 保存 net->xfrm.xfrm_state_lock。然后，其回调获取 x->lock，这会与删除路径冲突，通过 xfrm_state_delete（） 和
    __xfrm_state_delete（）。这会造成 AB-BA 死锁，当 NAT keepalive 工作线程与 SA 删除争用时，lockdep 会报告此死锁。通过将 keepalive walk 拆分为两个阶段来修复此问题。首先，收集候选状态，同时进行xfrm_state_lock，并对每个状态进行参考。然后，在遍历完成后，处理每个收集的状态并获取 x->lock，而不将其嵌套在xfrm_state_lock下。（CVE-2026-80845）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - USB：c67x00：修复 c67x00_add_iso_urb（） 中的释放后使用 当同步 URB 的最后一个数据包的 TD 创建失败时，c67x00_add_iso_urb（） 在更新端点计划状态之前返回 URB。
    c67x00_giveback_urb（） 释放 URB 隐私数据，完成回调可能会释放最终的 URB 引用。因此，对 urbp->ep_data、urb->interval 和 urbp->cnt 的以下访问可使用释放的内存。在返回失败的最终数据包之前更新 next_frame 和 cnt，使给予成为使用 URB 及其私有数据的最后一个操作。（CVE-2026-80826）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/rxe：修复 free_rd_atomic_resources（） 中的 OOB free_rd_atomic_resources（） 使用 qp->attr.max_dest_rd_atomic 进行迭代。在释放旧数组之前更新max_dest_rd_atomic可使自由路径遍历旧分配并触发 KASAN 捕获的 slab 越界写入：
    ================================================================== 缺陷：KASAN：free_rd_atomic_resource drivers/infiniband/sw/rxe/rxe_qp.c：180 中的 slab-out-of-bound [内联] 缺陷：KASAN：free_rd_atomic_resources drivers/infiniband/sw/rxe/rxe_qp.c：171 中的 slab-out-of-bound [内联] 缺陷：KASAN：free_rd_atomic_resources drivers/infiniband/sw/rxe/rxe_qp.c：163 中的 slab-out-of-bound [内联] 缺陷：KASAN：rxe_qp_from_attr+0x1e88/0x2150 drivers/infiniband/sw/rxe/ 中的 slab-out-of-boundrxe_qp.c： 712 在地址 ffff88802b8dddb8 处通过任务 syz.3.451/11063 写入大小为 4 CPU：0 UID：0 PID：11063 通信：syz.3.451 未受感染 7.1.0 #2 PREEMPT（完整） 硬件名称：QEMU Ubuntu 24.04 PC v2（i440FX + PIIX，arch_caps补丁，1996 年）、BIOS 1.16.3-debian-1.16.3-2 04/01/2014 调用跟踪： <TASK> __dump_stack lib/dump_stack.c：94 [内联] dump_stack_lvl+0x10e/0x1f0 lib/dump_stack.c：120 print_address_description mm/kasan/report.c：378 [内联] print_report+0xf7/0x600 mm/kasan/report.c：482 kasan_report+0xe4/0x120 mm/kasan/report.c：595 free_rd_atomic_resource drivers/infiniband/sw/rxe/rxe_qp.c：180 [内联] free_rd_atomic_resources drivers/infiniband/sw/rxe/rxe_qp.c：171 [内联] free_rd_atomic_resources drivers/infiniband/sw/rxe/rxe_qp.c：163 [内联] rxe_qp_from_attr+0x1e88/0x2150 drivers/infiniband/sw/rxe/rxe_qp.c：712 rxe_modify_qp+0x1e2/0x530 drivers/infiniband/sw/rxe/rxe_verbs.c：623 ib_security_modify_qp+0x223/0xfa0 drivers/infiniband/core/security.c：625 _ib_modify_qp+0x333/0xec0 drivers/infiniband/core/verbs.c：1915 modify_qp+0x13ca/0x1940 drivers/infiniband/core/uverbs_cmd.c：1932 ib_uverbs_modify_qp+0xcb/0x120 drivers/infiniband/core/uverbs_cmd.c：1958 ib_uverbs_write+0xb86/0x1030 drivers/infiniband/core/uverbs_main.c：680 vfs_write+0x2aa/0x1070 fs/read_write.c：686 ksys_write+0x1f8/0x250 fs/read_write.c：740 do_syscall_x64 arch/x86/entry/syscall_64.c：63 [inline] do_syscall_64+0x116/0x800 arch/x86/entry/syscall_64.c：94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP：
    0033：0x7fefc75a70cd 代码： ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP： 002b：00007fefc8495018 EFLAGS： 00000246 ORIG_RAX： 0000000000000001 RAX： ffffffffffffffda RBX：
    00007fefc7835fa0 RCX： 00007fefc75a70cd RDX： 0000000000000078 RSI： 0000200000000240 RDI： 0000000000000007 RBP： 00007fefc764f10f R08： 00000000000000000 R09： 000000000000000000 R10： 000000000000000000 R11：
    0000000000000246 R12： 0000000000000000 R13： 00007fefc7836038 R14： 00007fefc7835fa0 R15： 00007ffcf0586aa0 </TASK> 按任务 11063 分配：kasan_save_stack+0x33/0x60 mm/kasan/common.c：57 kasan_save_track+0x14/0x30 mm/kasan/common.c：78 poison_kmalloc_redzone mm/kasan/common.c：398 [内联]
    __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c：415 kasan_kmalloc include/linux/kasan.h：263 [内联]
    __do_kmalloc_node mm/slub.c：5296 [内联] __kmalloc_noprof+0x32a/0x850 mm/slub.c：5308 kmalloc_noprof include/linux/slab.h：954 [内联] kzalloc_noprof include/linux/slab.h：1188 [内联] alloc_rd_atomic_resources drivers/infiniband/sw/rxe/rxe_qp.c：155 [内联] rxe_qp_from_attr+0x3f8/0x2150 drivers/infiniband/sw/rxe/rxe_qp.c：714 rxe_modify_qp+0x1e2/0x530 drivers/infiniband/sw/rxe/rxe_verbs.c：623 ib_security_modify_qp+0x223/0xfa0 drivers/infiniband/core/security.c：625 _ib_modify_qp+0x333/0xec0 drivers/infiniband/core/verbs.c：1915 modify_qp+0x13ca/0x1940 drivers/infiniband/core/uverbs_cmd.c：1932 ib_uverbs_modify_qp+0xcb/0x120 drivers/infiniband/core/uverbs_cmd.c：1958 ib_uverbs_write+0xb86/0x1030 drivers/infiniband/core/uverbs_马 ---truncated--- （CVE-2026-80863）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/rxe：修复 IB_QP_MAX_DEST_RD_ATOMIC modify_qp rxe_qp_from_attr（） 上的响应程序 UAF 处理IB_QP_STATE路径外的IB_QP_MAX_DEST_RD_ATOMIC，以便其不持有任何state_lock，并在响应程序任务 rxe_receiver（） （rxe_wq 上的 recv_task） 处于活动状态时运行。设置 modify_qp（），仅该属性先调用 free_rd_atomic_resources（），再调用 alloc_rd_atomic_resources（），交换 qp->resp.resources[]，同时 rxe_prepare_res（）/find_resource（） 遍历它;free_rd_atomic_resources（） 还会使缓存指针 qp->resp.res 悬摆。在 rxe_receiver（） 中，本地非特权用户可能会使 free/realloc 争用到释放后使用（本地 DoS）。与 rxe_disable_task（）/rxe_enable_task（） 交换相关的recv_task耗尽，就像 rxe_qp_reset（） 在去除此数组时已执行的那样，仅在 alloc_rd_atomic_resources（） 成功后重新启用，这样响应器就永远不会针对 ENOMEM 路径上的空 qp->resp.resources 恢复。还清除 free_rd_atomic_resources（） 中的 qp->resp.res，如 rxe_resp.c 完成路径。在KASAN下转载;rxe_receiver（） 中的 slab-after-use-after-free 已消失。（CVE-2026-80864）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/tegra：gr2d/gr3d：在注册 HOST1X 客户端之前初始化地址寄存器映射 就在寄存器映射初始化循环之前调用 host1x_client_register（） 函数，使设备对用户空间可用。这可能导致用户空间尝试在初始化寄存器映射之前提交作业。通过将寄存器初始化移动到 host1x 客户端注册之前解决此问题。（CVE-2026-80883）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：hci_event：修复重置上的 LE 列表 UAF hci_cc_reset（） 清除 LE 接受和解析列表而不采用 hdev->lock。其他命令完成处理程序使用该锁序列化这些列表的更新，debugfs 阅读器在遍历它们时保留它。这允许重置完成和 debugfs 读取交错，如下所示：hci_rx_work debugfs 阅读器----------- --------------锁定 hdev->lock 获取当前条目 list_del（entry） kfree（entry） 读取条目字段 然后，阅读器会取消引用释放的列表条目，并可能跟随其过时的下一个指针。KASAN 报告：缺陷：KASAN：在 white_list_show+0x15f/0x180 中按任务 poc/95 在地址 ffff8881015dab16 读取的大小为 1 的 slab-use-after-free 调用跟踪：
    white_list_show+0x15f/0x180 seq_read_iter+0x3ff/0x1190 seq_read+0x267/0x3d0 vfs_read+0x177/0xa20 ksys_read+0xf7/0x1c0 按任务 91 分配：hci_bdaddr_list_add+0x1a6/0x3a0 hci_cc_le_add_to_accept_list+0xab/0x140 hci_cmd_complete_evt+0x26c/0x9a0 hci_event_packet+0x454/0xb20 hci_rx_work+0x293/0x730 由任务 90 释放： kfree+0x131/0x3c0 hci_bdaddr_list_clear+0xd8/0x160 hci_cc_reset+0x28a/0x370 hci_cmd_complete_evt+0x26c/0x9a0 hci_event_packet+0x454/0xb20 hci_rx_work+0x293/0x730 对两个列表进行清除时采用 hdev->lock。这与现有的突变和遍历锁定约定相匹配。（CVE-2026-80764）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvmet-fc：修复初始化 LS IOD 数组时 LS IOD 错误路径中的无效释放 nvmet_fc_alloc_ls_iodlist（） 推进 iod。如果 rqstbuf 分配或响应缓冲区 DMA 映射失败，展开循环将使 iod 递减超过数组的开头。因此，最终的 kfree（iod） 会释放分配对象之前的地址。这可以通过在创建目标端口之前将 fail-n 设置为 6 来通过 nvme-fcloop 和 failslab 重现。KASAN 报告：缺陷：KASAN：nvmet_fc_register_targetport 中的无效释放 通过任务 nvmet_fail_nth/9552 释放地址 ffff88816cf8ff48 改为释放 tgtport->iod 中存储的原始分配基础。应用此补丁之后，使用 fail-nth=6 进行的相同 sysfs 写入会返回 -ENOMEM，而不会产生任何 KASAN 报告。（CVE-2026-80790）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：uclogic：修复删除时inrange_timer释放后使用 uclogic_remove（） 取消笔范围内定时器，然后停止设备：timer_delete_sync（&drvdata->inrange_timer）;hid_hw_stop（hdev）;
    timer_delete_sync（） 仅保证计时器在该时刻处于空闲状态。uclogic_raw_event_pen（） 会一直发送笔报告，直到 hid_hw_stop（） 在几行后停止传输，并且每个含有 pen->inrange == UCLOGIC_PARAMS_PEN_INRANGE_NONE 的报告都会重新设置定时器：mod_timer（&drvdata->inrange_timer， jiffies + msecs_to_jiffies（100））;在 timer_delete_sync（） 调用和传输拆卸之间出现的报告在取消后重新武装 hid_hw_stop（） 重新武装inrange_timer。uclogic_remove（） 随后返回并释放 devm drvdata，而 hid_hw_stop（） 已经释放了 drvdata->pen_input 指向的输入设备，因此当定时器在 ~100 毫秒后触发时，uclogic_inrange_timeout（） 会取消引用释放的内存 -- 定时器软件上下文中的释放后使用。交换两个调用不是解决问题：在定时器可能仍待定时，先停止设备会通过 hidinput_disconnect（） 释放 drvdata->pen_input，所以在删除之前已布防的定时器会在 timer_delete_sync（） 运行之前在窗口中触发已释放的输入设备。请先使用 timer_shutdown_sync（），然后再使用 hid_hw_stop（）。它会取消定时器，在pen_input仍然有效时等待正在运行的回调，并防止任何进一步的重新布防 -- 此会静默忽略正在传输报告的后续 mod_timer（） -- 所以定时器在 hid_hw_stop（） 释放输入之前可证明是死的。这是此定时器从另一个路径拆卸案例重新布防的定时器核心文档的排序方式。(CVE-2026-80766)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：bridge：mcast：修复主 VLAN 的多播上下文的释放后使用 br_multicast_toggle_one_vlan（） 在停止 VLAN 的多播上下文之前清除 br->multicast_lock 下的BR_VLFLAG_MCAST_ENABLED。这就是拆卸握手：无锁的阅读器通过 br_multicast_ctx_should_use（） -> br_multicast_ctx_vlan_disabled（） 在标记上进行门控，因此一旦它在锁定下被清除，任何阅读器都不能再次布防上下文。对于主 VLAN，从不运行握手。__vlan_del（） 会在调用 br_vlan_put_master（） 之前清除BRIDGE_VLAN_INFO_BRENTRY，因此 br_multicast_toggle_one_vlan（masterv， false） 会提早返回 ！br_vlan_is_brentry（vlan）：此标记维持设置状态，且从不采用 br->multicast_lock。然后，br_vlan_put_master（） 耗尽 br_multicast_ctx_deinit（） 中的上下文并通过 call_rcu（） 释放 VLAN，而仍在 rcu_read_lock（） 内的阅读器将上下文视为启用并重新布防它。函数的 port 和 port-VLAN 分支没有 br_vlan_is_brentry（） 测试，并且会在 br->multicast_lock 下翻转标记，因此不受影响。读卡器是桥接传输路径。对于主 VLAN br_multicast_rcv（） 选择 brmctx = &vlan->br_mcast_ctx 且 pmctx = NULL，因此在 br_multicast_ctx_deinit（） 停止上下文定时器之后，发送到桥接设备的 IGMP 会重新布防这些定时器。缺陷：KASAN：在 detach_if_pending+0x412/0x4a0 中通过任务 brmc/601 在地址 ffff88810ac39918 处写入大小为 8 的 slab-after-free
    __mod_timer+0x51a/0xc50 br_multicast_host_join+0x25b/0x390 __br_multicast_add_group+0x468/0x530 br_ip4_multicast_add_group+0x1a0/0x260 br_multicast_rcv+0x2cda/0x61e0 br_dev_xmit+0x6c4/0x1540 按任务 610 分配：br_vlan_add+0x111/0xb40 br_vlan_info+0x370/0x3e0 由任务 0 释放：kfree+0x1a7/0x4f0 rcu_core+0x7dc/0x10a0 仅在启用时测试 br_vlan_is_brentry（） 就像旁边的 br_multicast_ctx_vlan_global_disabled（） 测试一样。然后禁用将始终在 br_multicast_ctx_deinit（） 耗尽上下文之前清除 br->multicast_lock 下的BR_VLFLAG_MCAST_ENABLED。
    (CVE-2026-80842)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dmaengine：sun6i-dma：修复终止 DMA 时回收描述符 终止 DMA 传输时，未正确回收活动描述符。仅处理循环描述符，而永久泄漏非循环描述符及其 LLI 链。通过使用 vchan_terminate_vdesc（） 进行修复，该描述符通过将循环和非循环描述符添加到队列desc_terminated以便正确清理。
    添加 pchan->desc ！= pchan->done 检查以防止重复添加已完成的描述符，这会损坏列表。（CVE-2026-80902）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - crypto：sun8i-ce - 删除crypto_rng接口 由于硬件 PRNG 的crypto_rng接口未经使用，并且与 hwrng 和实际的 Linux RNG 冗余，因此将其逐步淘汰。它的大多数驱动程序已经被删除。继续删除 sun8i-ce 支持，这是仅存的一个支持。请注意，对 hwrng 的 sun8i-ce 支持仍然存在。这才是真正重要的界面。和 crypto_rng 一样，此驱动程序也存在缺陷：其 ->generate（） 函数存在一个释放后使用漏洞，这是因为在发送信号时未处理关闭 DMA 操作而使用 wait_for_completion_interruptible_timeout（） 所致。单独修复此问题只是为了删除代码是没有意义的，因此此提交被标记为修复和 Cc 稳定。（CVE-2026-80834）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xfrm：ah6：验证路由标头 segments_left AH6 会在计算或验证 ICV 之前重新排列路由标头地址。ipv6_rearrange_rthdr（） 假设 segments_left 不大于路由标头的 hdrlen 字段描述的地址数。此假设不适用于原始 IPv6 HDRINCL 数据包。hdrlen 等于 2 的数据包描述一个地址，但是可以携带任意segments_left值。当segments_left等于 255 时，该函数会将其地址指针向后移动 4,064 字节，并将长度为 4,064 字节的长度传递到 memmove（），从而导致越界访问。在修改路由标头或执行任何地址指针算法之前，先在本地验证不变量，并将畸形标头错误传播到现有 AH6 输入和输出错误路径。（CVE-2026-80844）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfc：fdp：限制设备报告的读取长度并修复一个 skb 泄漏 fdp_nci_i2c_read（） 从两个设备提供的字节获取下一个数据包长度，并且从不进行验证。该值是用作 261 字节堆栈上缓冲区的 i2c_master_recv（） 计数的 u16：恶意的、仿冒的或故障的控制器（或 I2C 总线内插器）可将其驱动到远远超过缓冲区，以进行会破坏 Canary 和返回地址的堆栈越界写入，或低于最小帧大小（直接或通过截断计算的总和），以便标头/LRC 条带和下一个长度读取超出短收到。拒绝 [FDP_NCI_I2C_MIN_PAYLOAD， FDP_NCI_I2C_MAX_PAYLOAD] 之外的长度（因为损坏的数据包已经存在），并强制重新同步。同一循环每次迭代分配一个数据 skb，并假设一个长度数据包后跟一个数据包;在一个调用中发送两个数据包的设备在第二个分配覆盖第一个 SKB 时，会泄露第一个 SKB。释放之前分配的 skb，然后再分配下一个 skb。
    (CVE-2026-80802)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：usbfs：修复 usbdev_release（） 中的 usb_device释放后使用 usbdev_release（） 在耗尽已完成异步 URB 列表之前放弃其对结构usb_device的引用，但该漏路径会通过同一个对象回读： free_async（） 为缓冲区来自 usbfs mmap（） 区域的任何 URB 调用 dec_usb_memory_use_count（）， 它的第一个语句是 bus_to_hcd（ps->dev->bus）。断开连接后，usbfs 引用可以是最后一个引用，在这种情况下，usb_put_dev（） 会释放设备，后续循环会读取已释放内存的偏移 80，并将结果用作 struct usb_hcd *，然后 hcd_buffer_free_pages（） 会取消引用。对 /dev/bus/usb 节点具有读取/写入权限的非特权进程可达到此目的：mmap（） fd，提交一个映射内有缓冲区的 URB，等待设备拔出，然后 munmap（） 和 close（）。它在每次尝试时重现，而不是争用，因为实时MAP_SHARED vma 在结构文件上持有引用，因此 usbdev_release（） 无法运行，直到最后一个 vma 消失并且始终采用 dec_usb_memory_use_count（） 的释放分支。缺陷：KASAN：在 dec_usb_memory_use_count+0x3ae/0x410 中的释放后使用 在地址 ffff8880122ee050 中的大小为 8 的读取，按任务 poc/769 CPU：1 UID：1000 PID：769 通信：poc 受感染：G B 6.12.94 #3 调用跟踪：dec_usb_memory_use_count+0x3ae/0x410 free_async+0x2aa/0x4f0 usbdev_release+0x375/0x460 __fput+0x3ea/0xb50 __x64_sys_close+0x86/0x100 按任务 11 分配： usb_alloc_dev+0x55/0xd90 hub_event+0x2524/0x43d0 由任务 769 释放：kfree+0x121/0x360 device_release+0xd2/0x280 usb_put_dev+0x23/0x30 usbdev_release+0x2d8/0x460 改为在漏循环后释放设备引用。两点之间没有任何内容需要将其丢弃。
    (CVE-2026-80824)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：had/tas2781：取消绑 TAS2781 定时的异步固件请求，取消从使用 request_firmware_nowait（） 的组件绑定加载的 HDA I2C 和 SPI 队列 RCA 固件。固件加载程序保持回调模块固定并保留设备引用，但回调仍使用驱动程序专用 HDA 状态。组件取消绑定会立即删除控件和 DSP 状态。稍后删除设备会破坏 TAS2781 隐私数据，包括codec_lock。如果异步固件回调在 unbind 开始后运行，它可在被拆散的状态下运行。删除控件和 DSP 状态之前，请取消或同步异步固件请求。已排入队列的回调将被取消取消，并且允许在取消绑定继续之前完成已运行的回调。（CVE-2026-80872）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xfrm：修复 xfrm_state_construct（） auth-trunc 泄漏 当选定的认证算法没有sadb_alg_id时，attach_auth_trunc（） 可分配 x->aalg 而将 x->props.aalgo 保留为零。一个真实的案例是 cmac（aes）。
    xfrm_state_construct（） 然后将 ！x->props.aalgo 视为尚未附加认证算法并调用 attach_auth（）。这会覆盖 x->aalg 并丢失第一个分配。之后的任何失败或拆卸只会释放替换指针。检查 x->aalg 是否已附加，而不是从 x->props.aalgo 推断出该状态。（CVE-2026-80843）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfc：nci：修复 nci_target_auto_activated（） 中的越界写入 nci_target_auto_activated（） 将目标附加到固定大小的数组 ndev->targets[NCI_MAX_DISCOVERED_TARGETS] 并递增 ndev->n_targets，而无需事先检查数组是否已满;与它的兄弟 nci_add_new_target（） 不同，后者在 n_targets 已经等于 NCI_MAX_DISCOVERED_TARGETS 时退出。ndev->n_targets 仅通过 nci_clear_target_list（） 清除，因此反复重新运行发现（RF_DISCOVER_RSP，在不清除目标列表的情况下重新输入NCI_DISCOVERY）并报告自动激活的目标 （RF_INTF_ACTIVATED_NTF） 的 NFCC 驱动n_targets超出限制。然后，附加在数组末尾后写入一个结构nfc_target（slab 越界写入），然后 nfc_targets_found（） 继续使用膨胀的计数遍历数组： 缺陷： KASAN：nci_add_new_protocol+0x94/0x2ac 中的 slab-out-of-bound [nci] 任务 kworker/u8：0/12 在地址 ffff0000c7299a18 处写入大小为 2 的工作队列： nfc0_nci_rx_wq nci_rx_work [nci] 调用跟踪：
    nci_add_new_protocol+0x94/0x2ac [nci] nci_ntf_packet+0xddc/0x11a0 [nci] nci_rx_work+0x15c/0x1e0 [nci] process_one_work+0x2dc/0x500 worker_thread+0x240/0x460 kthread+0x1c0/0x1d0 ret_from_fork+0x10/0x20 有缺陷的地址属于大小为 2048 的缓存 kmalloc-2k 有缺陷的地址位于分配的 1560 字节区域右侧 1024 字节处 [ffff0000c7299000， ffff0000c7299618） 使用与 nci_add_new_target（） 使用的相同检查保护 nci_target_auto_activated（）。（CVE-2026-80795）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfc：microread：验证目标发现负载长度 microread_target_discovered（） 根据 HCI 门从 skb->data 解析目标发现负载。仅针对目标nfc_target缓冲区检查固定字段偏移和 UID 副本，而不针对实际的 skb 长度进行检查。在读取或复制每个 gate 特定负载之前，验证它们是否包含固定字段和 UID 字节。
    (CVE-2026-80801)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/amdgpu：拒绝含有无效 h265 refs 编号的 UVD 消息。与 h264 相同的变更，可避免日后计算最小 dpb 大小时发生溢出。（从提交 a4b0720e4f1601f97f59a2be9c1b4b94fa6527d5 中精选出的内容）（CVE-2026-80909）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fbdev：封装用户调用的对帮助程序中的 fb_set_var（） 的调用 在 fb_set_var_from_user（） 中显示更新期间处理 fbcon。通过 fbcon 检查模式变更是否可行，更新硬件状态，最后更新 fbcon。更新所有调用程序。目前只有FBIOPUT_VSCREENINFO ioctl 执行所有步骤。sysfs 和驱动程序代码中的其他模式变更调用程序缺少与 fbcon 相关的步骤。通过新的帮助程序，ps3fb 和 sh_mobile_lcdcfb 不再自行维护 fbcon 状态。（CVE-2026-80786）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - tipc：避免 tipc_exit_net（） 中的忙碌循环 受到指责的提交会在 tipc_exit_net（） 中引入忙碌等待循环以等待待定的 UDP 承载清除工作完成：while （atomic_read（&tn->wq_count）） cond_resched（）;如果 cond_resched（） 为 NOP，此循环可长时间忙等待。这通常会在高优先级任务执行 netns 退出时发生，或者在配置为没有抢占的内核下执行 （CONFIG_PREEMPT_NONE）。在此类情况下，它会浪费 CPU 周期并可导致软锁定。通过将忙碌循环替换为 wait_var_event（） 来修复此问题，允许线程正常休眠，直到工作队列计数达到零。相应地，更新 cleanup_bearer（） 以在计数降至零时使用 atomic_dec_and_test（） 和 wake_up_var（） 唤醒等候程序。这使用全局等待队列哈希表，无需通过wait_queue_head_t来扩大结构tipc_net。atomic_dec_and_test（） 提供必要的内存屏障以确保不会遗漏唤醒。（CVE-2026-80866）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - crypto：virtio - 绑定 akcipher 结果长度 virtio_crypto_dataq_akcipher_callback（） 根据设备报告的响应长度设置结果长度，而不将其绑定到针对原始请求长度分配的目标缓冲区。然后，sg_copy_from_buffer（） 从目标缓冲区读取该字节数;报告较长长度的后端过度读取调用方的 scatterlist 中邻近的内核堆（越界读取）。将报告的长度限制为最初请求的目标长度。符合要求的设备报告的数量不超过该数量，因此有效结果不受影响。（CVE-2026-80836）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xfrm：espintcp：修复关闭期间的 UAF ZDI 报告并分析了关闭 espintcp 套接字期间的争用条件：espintcp_close（） 通过 kfree_skb（） 释放 emsg->skb，而不保留任何套接字锁定。同时，xfrm_trans_reinject工作队列调用 esp_output_tcp_finish（） -> espintcp_push_skb（） -> espintcp_push_msgs（） -> skb_send_sock_locked（），它会读取相同的 skb 作为数据源。通过在重置 sk_prot 后添加 synchronize_rcu（） 调用来修复此问题，因为 esp_output_tcp_finish（） 在 RCU 下运行并且不会使用sk_prot == &tcp_prot 的套接字。如果 esp_output_tcp_finish（） 在刚释放的插槽中重新添加 skb，单纯在 espintcp_close（） 中采用套接字锁定即可导致泄漏。在此之后，不再需要现有的 barrier（）。（CVE-2026-80848）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：pidff：修复当 hid->inputs 为空时的越界写入 hid_pidff_init_with_quirks（） 从 list_entry（hid->inputs.next， struct hid_input， list） 派生input_dev，而无需事先检查 hid->inputs 是否为空。struct hid_input 的列表成员位于偏移 0，因此在空白列表上，list_entry（） 会生成 &hid->inputs 本身，而以下 hidinput->input 加载会读取 struct hid_device 的不相关成员。
    然后 dev 是一个类型混淆指针，强制反馈 init 通过它写入：每个 set_bit（FF_*， dev->ffbit） 在 dev + 192 处存储 8 个字节，超过对象 dev 实际别名的末尾，并且 input_ff_create（） 添加堆指针和两个函数指针的进一步写入。在 hid-universal-pidff 之前，唯一的调用程序是来自 usbhid 的 hid_pidff_init（），后者在 HID_CLAIMED_INPUT 下运行，因此始终至少有一个hid_input。universal_pidff_probe（） 以 HID_CONNECT_DEFAULT & ~HID_CONNECT_FF 启动设备，然后在描述符带有 PID 使用页面时直接调用 hid_pidff_init_with_quirks（），从而绕过该门。唯一应用程序集合位于 HID_UP_PID 上的报告描述符将 hid->inputs 留空，而 hid_connect（） 仍能成功通过 hidraw 声明，因此探测可到达未保护的 list_entry（）。写入发生在 USB 探测路径的热插拔工作队列中，因此插入恶意设备就足以触发写入;不需要攻击者软件，也不需要登录用户。KASAN 报告从 universal_pidff_probe（） 访问的 hid_pidff_init_with_quirks（） 中存在 8 字节越界写入。派生 dev 之前检查是否有空列表，然后返回 -ENODEV，就像其他 HID 强制反馈驱动程序已做的那样。universal_pidff_probe（） 传播错误并展开。由 XBOW 发现，由 Baul Lee <baul.lee@xbow.com> 分类 （CVE-2026-80780）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/amdgpu：修复 UVD dpb 最小大小计算 H264 这应使用解码消息中的实际引用数，而不是从级别派生的最大值。（从提交 64b525edb7e7bdfcdc77883c5e413804e2396856 中精选出的内容）（CVE-2026-80907）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：nintendo：设置好功能后注册输入设备 input_register_device（） 会立即将设备暴露给用户空间。在 joycon_input_create（） 中，其在 joycon_config_rumble（） 配置 FF_RUMBLE 功能和无内存强制反馈设备之前调用，因此并发 EVIOCSFF 可取消引用空 dev->ff。提前注册还意味着初始 udev 事件缺少按钮和轴信息，这可使输入管理器忽略该设备。将 input_register_device（） 移到 joycon_input_create（） 的末尾，在所有功能、IMU 输入设备和强制反馈回调都已配置完毕后。（CVE-2026-80771）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mm/hugetlb：修复在 fork（） 上清除 uffd-wp 时的交换条目损坏 copy_hugetlb_page_range（） 使用 huge_pte_clear_uffd_wp（） 清除 uffd-wp 位的迁移和 hwpoison 条目，它在 present-PTE 位位置上运行。swap 条目将 uffd-wp 状态保留在别处 -- 迁移分支使用 pte_swp_uffd_wp（） 和 pte_swp_mkuffd_wp（） 读取并设置它 -- 并且 present-PTE 位置落入 swap 负载。在 x86-64 上，它属于反向交换偏移，其中自然对齐的 hugetlb PFN 始终设置受影响的位，因此清除将编码的 PFN 提前两页。不需要涉及 userfaultfd：清除仅由未注册 uffd-wp 的子 VMA 保护，因此具有正在传输的 hugetlb 迁移条目（或中毒的 hugetlb 页面）的普通 fork（） 会损坏复制到子条目的条目。在 2MB 的 anon hugetlb 页面上检测清除和MADV_HWPOISON后分叉显示：=120e02 之后的偏移 before=120e00 偏移 影响大多是潜在的：rmap 遍历按作品集范围匹配迁移条目，而 remove_migration_pte（） 从作品集重建 PTE，因此一旦迁移完成，作品集内的 PFN 偏差就会得到修复。但任何重新编码损坏的偏移的路径 -- 例如
    hugetlb_change_protection（） 通过 make_readable_migration_entry（swp_offset（entry）） 重写可写入的迁移条目 -- 传播它。迁移条目合法带有 uffd-wp，因此请通过匹配 copy_nonpresent_pte（） 和 move_huge_pte（） 的 pte_swp_clear_uffd_wp（） 将其清除。另一方面，hwpoison 条目始终不带有 uffd-wp 位：它由 make_hwpoison_entry（） 全新安装（try_to_unmap_one（） 不在 hwpoison 路径中保留 uffd-wp），而 hugetlb_change_protection（） 则不影响 hwpoison 条目。那里没有什么可清理的，只有腐败，所以完全放弃清理。（CVE-2026-80893）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fuse：修复检查 io-uring 就绪情况时缺失的屏障 fuse_block_alloc（） 读取 fch->initialized，然后读取 fch->io_uring。fch->io_uring 在 fch->initialized 之前设置，由 fuse_chan_set_intialized（） 中的 smp_wmb（） 排序，但 fuse_block_alloc（） 在两个负载之间没有匹配的读取屏障。
    这可能导致 CPU 观察到 fch->initialized=1 但 fch->io_uring=0，并跳过阻止请求分配的检查，直到 io-uring 队列准备就绪。这可重新引入锁定顺序反转死锁，从而阻止提交 3393ff964e0f 事件。添加 smp_rmb（） 屏障以与 fuse_chan_set_initialized（） 中的 smp_wmb（） 配对以防止此情况。（CVE-2026-80859）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：core：修复 hid_set_field（） 中 field->usage 的 OOB 读取 hid_set_field（） 在限制偏移的防护之前将 field->usage + 偏移交给 hid_dump_input（）： hid_dump_input（field->report->device， field->usage + offset， value）;if （offset >= field->report_count） { hid_err（...）; return -1; }在 CONFIG_DEBUG_FS hid_dump_input（） 下取消引用该指针，时 buf = hid_resolv_usage（usage->hid， NULL）。usage[] 数组与 hid_register_field（） 中的 hid_field 内联分配，并保留 field->maxusage 条目，因此超过该数组的偏移会读取 kvzalloc（） 分配的结尾并读取到相邻对象。如果先运行防护，偏移 < report_count <= maxusage 将已将指针限制到数组。调用方今天提供这样的偏移量。picolcd_fb_send_tile（） 在发出 i = 0..31 的 hid_set_field（report->field[0]， 11 + i， ...） 之前仅验证 report->maxfield，因此其偏移固定为 11..42，并且从不针对绑定字段进行检查。当设备注册该字段的使用量较少时，帧缓冲区延迟 io 工作会驱动每个磁贴上的读取。KASAN 报告 hid_set_field（） 之下的 hid_dump_input（） 中存在 4 字节 slab-of-bound 读取，并且相同引导日志偏移 （1） 超过仅在之后运行的防护的 report_count （1）。将 hid_dump_input（） 调用移动到防护下方。由于 field->maxusage >= field->report_count，因此防护随后会在取消引用数组之前，针对每个调用程序确立 field->usage + 偏移位于数组内部，且有效路径上的行为不会改变。
    由 XBOW 发现，由 Baul Lee <baul.lee@xbow.com> 分类 （CVE-2026-80781）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - netfilter：nf_tables：不将数据包路径对象通知排队 以下所有 file：line 引用均针对 v7.2-rc4 （ac5b0e5651b1）。在 7.2.0-rc6-kasan72rc6 （075b74841bd0） 上捕获了跟踪，其中适用的行相同。nft_obj_notify（） 被导出并从数据包路径到达。其唯一的树内调用程序是 nft_quota_obj_eval（） （net/netfilter/nft_quota.c：68），后者在评估传输数据包规则时通过GFP_ATOMIC通知，不保留互斥体。由于提交了 67cc570edaa0（netfilter：nf_tables：将多个通知合并为一个 skbuff），因此不再立即发送该通知。
    __nft_obj_notify（） 通过裸list_add_tail nft_notify_enqueue（） （net/netfilter/nf_tables_api.c：1211） 将其排队到nft_net->notify_list。notify_list 没有自己的锁 （include/net/netfilter/nf_tables.h：1951），它按 commit_mutex 进行序列化：其他六个排队站点都在一个 netlink 事务内运行，而 nft_commit_notify（） （net/netfilter/nf_tables_api.c：10746） 中的漏会从 nf_tables_commit（） 进行 list_del（） + kfree_skb（），并保留commit_mutex。因此，通过引用已耗尽配额对象的链发送数据包会使未锁定的 list_add_tail（） 与另一个 CPU 上的 list_del（） + kfree_skb（） 争用。然后，__list_add（） 中的 WRITE_ONCE（prev->next， new） 会通过已释放的sk_buff进行存储： 缺陷：KASAN：__nft_obj_notify+0x2c5/0x2d0 中的 slab-after-free 在地址 ff110001047183c0 处按任务 poc/76 写入大小为 8 CPU：0 UID：1000 PID：76 Comm：poc 受感染：G W 7.2.0-rc6-kasan72rc6 #4 调用跟踪： <IRQ> __nft_obj_notify （include/linux/list.h：164 include/linux/list.h：191 net/netfilter/nf_tables_api.c：1211 net/netfilter/nf_tables_api.c：8743） nft_quota_obj_eval （net/netfilter/nft_quota.c：68） nft_do_chain_inet nf_hook_slow __ip_local_out ip_push_pending_frames udp_send_skb udp_sendmsg __x64_sys_sendto 按任务 77 分配：__alloc_skb （net/core/skbuff.c：704） __nft_obj_notify （include/net/netlink.h：1055 net/netfilter/nf_tables_api.c：8731） nft_quota_obj_eval （net/netfilter/nft_quota.c：68） nft_do_chain 由任务 79 释放： nf_tables_commit （include/linux/skbuff.h：1332 net/netfilter/nf_tables_api.c：10759 net/netfilter/nf_tables_api.c：11185） nfnetlink_rcv_batch （net/netfilter/nfnetlink.c：574） netlink_unicast netlink_sendmsg 有缺陷的地址属于大小为 232 的缓存skbuff_head_cache 从数据包路径进行排队是错误的，即使将争用放在一边也不例外：notify_list仅由 nf_tables_commit（） 中的 nft_commit_notify（） 耗尽 （：11185）， 因此，在以后的某个 netlink 批处理提交（如果有的话）之前，不会发送排队在事务外的通知。nft_obj_notify（） 仍然采用的 gfp 参数是 67cc570edaa0 之前行为的残留，在此路径中直接调用了 nfnetlink_send（）。恢复现状：将消息结构拆分为 nft_obj_notify_alloc（），让每个调用方决定如何处理 skb。nft_obj_notify（），即从数据包路径到达的导出函数，立即将其发送;
    在 commit_mutex 下运行的 nf_tables_obj_notify（） 会一直将其排队，因此事务通知仍会合并。（CVE-2026-80837）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/tcp-ao：修复重新连接到另一个对等机时的current_key释放后使用 tcp_inbound_ao_hash（），然后再调用 bh_lock_sock_nested（），仅保留 rcu_read_lock（）。在已建立套接字的快速路径中，如果对等机发送的rnext_keyid与 current_key->sndid 不同，则会查找对等机请求的密钥并将其存储在 current_key 中。查找位于 RCU 读取端内部，但current_key的寿命超过其寿命。当断开套接字并再次为另一个对等机调用 connect（） 时，tcp_ao_connect_init（） 会断开与新对等机不匹配的每个密钥的链接，并通过 call_rcu（） 将其释放。如果 current_key 指向此类密钥，则将其清除为 NULL。快速路径在进入时仅读取一次sk_state，因此在仍建立套接字时进入其中的 softirq 可在该循环运行后更新current_key。更新位于 RCU 读取端，因此会出现在 call_rcu（） 回调之前，而一旦回调释放密钥，current_key 仍然指向已释放的内存。下一个传输在 tcp_get_current_key（） 中获取该指针。然后，tcp_ao_transmit_skb（） 会从释放的对象读取流量密钥，即释放后使用密钥。请等待一个宽限期，然后才能取消链接，并且仅在要删除密钥时。
    当 tcp_connect（） 运行时，套接字已处于TCP_SYN_SENT中，而TCP_AO_ESTABLISHED不包含TCPF_SYN_SENT，因此等待后进入的 softirq 无法到达快速路径，而其中已有的 softirq 已完成。此时，循环中现有的 NULL 处理就足够了。（CVE-2026-80849）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Undici 的重试处理程序可使已经暴露的响应正文永久处于待定状态。当服务器返回声明 Content-Length、仅发送部分正文并关闭连接的成功响应时，重试处理程序将重试请求。如果重试返回 400 等不可重试状态，则处理程序将向下游转发该新响应并替换其内部响应流，但应用程序仍保留的原始响应正文永远不会结束或销毁。因此，读取该正文的调用永远不会稳定，并且配置的正文超时不会触发，因为其定时器绑定到连接解析器，而不是孤立的正文。攻击者控制的服务器可在不保持连接打开状态的情况下通过两个短响应触发此漏洞，并且重复的请求会累积待定的 Promise 和流，从而耗尽应用程序并发性或内存。这会影响最高和7.29.18.0.0最高到 8.10.2的 undici 版本。7.11.0 用户应升级到 undici 7.29.1 或 8.10.2.
    (CVE-2026-18149)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfc：llcp：拒绝比 LLCP 标头短的 PDU 每个 LLCP PDU 都以双字节标头 （DSAP/SSAP + PTYPE） 开头，但接收路径从未在解析帧前检查帧是否至少为 LLCP_HEADER_SIZE 字节。nfc_llcp_rx_skb（） 通过 nfc_llcp_ptype（）/nfc_llcp_dsap（）/ nfc_llcp_ssap（） 读取标头，取消引用 pdu->data[0] 和 pdu->data[1]，然后 CONNECT 或 CC PDU 计算 tlv_array_len = skb->len - LLCP_HEADER_SIZE;作为size_t并将其交给 TLV walk。当帧比标头短时，减法会封装成一个巨大的值，并且遍历会远远超出缓冲区，即越界读取。附近的 NFC 设备无需身份验证即可访问此权限;LLCP 链接在 NFC-DEP 后自动激活。保护目标 （nfc_llcp_data_received（）） 和发起程序 （nfc_llcp_recv（）） 路径共享的通用接收汇合点 __nfc_llcp_recv（），以便在 rx_work 工作线程解析之前丢弃短 skb。使用 pskb_may_pull（） 而不是 skb->len 测试，确保两个标头字节位于 skb 线性区域中，即使对于非线性 skb，这与同级 NCI 和 HCI 接收路径验证其标头的方式相匹配。在 linux-next 上通过 /dev/virtual_nci 使用 KFENCE 越界读取重现。由 0sec 自动化安全研究工具 （）https://0sec.ai 发现。
    (CVE-2026-80798)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：mt76：mt7925：确保 usb_sdio_tx_prepare_skb mt7925_usb_sdio_tx_prepare_skb（） 中的 tx 余量将 TX 描述符和 USB 标头推送到每个 skb，并假设它们的余量已存在。这适用于本地生成的流量，其中 mac80211 保留 hw->extra_tx_headroom，但转发的帧通过 ieee80211_8023_xmit（） 发送，后者不会保留 hw-。将有线接口桥接到 mt7925u AP 和到达的第一个转发帧，造成短暂的错误 kernel：skbuff： skb_under_panic： len：415 put：4 tail：0x19b end：0x640 dev：wlan1 kernel BUG at net/core/skbuff.c：212！调用跟踪：skb_panic+0x58/0x60 （P） skb_push+0x58/0x60 mt7925_usb_sdio_tx_prepare_skb+0xf8/0x1b8 [mt7925_common] mt76u_tx_queue_skb+0xa0/0x1f8 [mt76_usb] __mt76_tx_queue_skb+0x54/0xe8 [mt76] mt76_txq_schedule.part.0+0x204/0x478 [mt76] mt76_txq_schedule_all+0x50/0x80 [mt76] mt792x_tx_worker+0x68/0x100 [mt792x_lib] __mt76_worker_fn+0x84/0x150 [mt76] 给定的设置是否命中取决于入口的余量netdev 保留在其 rx skb。在桥接板载以太网至 Netgear A9000的 Raspberry Pi 5 上重现;最初报告于 MT7986 运行 OpenWrt 的路由器。
    Nick Morrow 对 Pi 4 （bcmgenet） 进行了测试，它留下了更多的动态余量，有助于缩小进入路径的触发范围。通过提交 98c4d0abf5c4 修复了 mt7921 上的相同缺陷（mt76：mt7921：不假设 SDIO 标头有足够的余量），但 mt7925 是从 mt7921 复制的，没有此补丁。在此处添加相同的防护。（CVE-2026-80825）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
343072	Linux Distros 未修补的漏洞：CVE-2026-80741	high
343071	Linux Distros 未修补的漏洞：CVE-2026-80735	high
343070	Linux Distros 未修补的漏洞：CVE-2026-80745	high
343069	Linux Distros 未修补的漏洞：CVE-2026-80746	medium
343068	Linux Distros 未修补的漏洞：CVE-2026-84256	high
343067	Linux Distros 未修补的漏洞：CVE-2026-80729	high
343066	Linux Distros 未修补的漏洞：CVE-2026-80750	high
343065	Linux Distros 未修补的漏洞：CVE-2026-84989	high
343064	Linux Distros 未修补的漏洞：CVE-2026-82312	low
343063	Linux Distros 未修补的漏洞：CVE-2026-80736	high
343062	Linux Distros 未修补的漏洞：CVE-2026-80749	high
343061	Linux Distros 未修补的漏洞：CVE-2026-78221	medium
343060	Linux Distros 未修补的漏洞：CVE-2026-81738	low
343059	Linux Distros 未修补的漏洞：CVE-2026-85394	critical
343058	Linux Distros 未修补的漏洞：CVE-2026-84383	critical
343057	Linux Distros 未修补的漏洞：CVE-2026-80751	high
343047	Linux Distros 未修补的漏洞：CVE-2026-80845	high
343046	Linux Distros 未修补的漏洞：CVE-2026-80826	high
343045	Linux Distros 未修补的漏洞：CVE-2026-80863	high
343044	Linux Distros 未修补的漏洞：CVE-2026-80864	medium
343043	Linux Distros 未修补的漏洞：CVE-2026-80883	medium
343042	Linux Distros 未修补的漏洞：CVE-2026-80764	medium
343041	Linux Distros 未修补的漏洞：CVE-2026-80790	medium
343040	Linux Distros 未修补的漏洞：CVE-2026-80766	high
343039	Linux Distros 未修补的漏洞：CVE-2026-80842	high
343038	Linux Distros 未修补的漏洞：CVE-2026-80902	medium
343037	Linux Distros 未修补的漏洞：CVE-2026-80834	high
343036	Linux Distros 未修补的漏洞：CVE-2026-80844	high
343035	Linux Distros 未修补的漏洞：CVE-2026-80802	medium
343034	Linux Distros 未修补的漏洞：CVE-2026-80824	high
343033	Linux Distros 未修补的漏洞：CVE-2026-80872	high
343032	Linux Distros 未修补的漏洞：CVE-2026-80843	medium
343031	Linux Distros 未修补的漏洞：CVE-2026-80795	medium
343030	Linux Distros 未修补的漏洞：CVE-2026-80801	medium
343029	Linux Distros 未修补的漏洞：CVE-2026-80909	medium
343028	Linux Distros 未修补的漏洞：CVE-2026-80786	high
343027	Linux Distros 未修补的漏洞：CVE-2026-80866	medium
343026	Linux Distros 未修补的漏洞：CVE-2026-80836	high
343025	Linux Distros 未修补的漏洞：CVE-2026-80848	medium
343024	Linux Distros 未修补的漏洞：CVE-2026-80780	high
343023	Linux Distros 未修补的漏洞：CVE-2026-80907	medium
343022	Linux Distros 未修补的漏洞：CVE-2026-80771	medium
343021	Linux Distros 未修补的漏洞：CVE-2026-80893	medium
343020	Linux Distros 未修补的漏洞：CVE-2026-80859	medium
343019	Linux Distros 未修补的漏洞：CVE-2026-80781	medium
343018	Linux Distros 未修补的漏洞：CVE-2026-80837	medium
343017	Linux Distros 未修补的漏洞：CVE-2026-80849	high
343016	Linux Distros 未修补的漏洞：CVE-2026-18149	medium
343015	Linux Distros 未修补的漏洞：CVE-2026-80798	medium
343014	Linux Distros 未修补的漏洞：CVE-2026-80825	medium

检测

Nessus 的 Misc. 系列

high

high

high

medium

high

high

high

high

low

high

high

medium

low

critical

critical

high

high

high

high

medium

medium

medium

medium

high

high

medium

high

high

medium

high

high

medium

medium

medium

medium

high

medium

high

medium

high

medium

medium

medium

medium

medium

medium

high

medium

medium

medium