Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mm/hugetlb：修复 allocate_file_region_entries（） 中的列表损坏 allocate_file_region_entries（） 用新分配的 file_region描述符充值 resv->region_cache。分配使用GFP_KERNEL，因此周围删除了 resv->lock：新条目会收集在堆栈本地列表头上，allocated_regions，并在重新获取锁定之后拼接成 resv->region_cache。使用的 splice list_splice（） 会移动条目，但不会重新初始化源头，因此allocated_regions保留指向现在位于 resv->region_cache 上的条目。充值在 while 循环中运行，重新获取锁定后会重新检查缓存不足。对于共享映射，resv_map由 hugetlbfs inode 的每个映射器共享，因此同一resv_map上的并发 region_chg（）/region_add（）/region_del（） 可在解锁的窗口期间消耗缓存条目并强制进行第二次迭代。该迭代会在过时头上调用 list_add（） 并损坏列表;通过CONFIG_DEBUG_LIST __list_add_valid（） 检查跳闸：list_add损坏。next->prev 应为 prev （ffffc900011ff7f8），但以前是 ffff88814c281460。
    （next=ffff88814c545640）. kernel BUG at lib/list_debug.c：31！allocate_file_region_entries+0x191/0x420 region_chg+0x267/0x300 hugetlb_reserve_pages+0x387/0xc80 hugetlbfs_file_mmap+0x2ce/0x3f0 mmap_region+0x1348/0x1a80 do_mmap+0x85e/0xb90 vm_mmap_pgoff+0x18c/0x330 ksys_mmap_pgoff+0x2a1/0x3e0 do_syscall_64+0xd7/0x420 在不CONFIG_DEBUG_LIST的情况下，错误的 list_add（） 会静默地将内核堆栈地址链接到 resv->region_cache， 导致以后的释放后使用。在密集的 KVM 主机上，QEMU guest-RAM hugetlbfs 文件被 QEMU 和单独的 SPDK/DPDK vhost-user 目标映射MAP_SHARED，从而在一个共享resv_map上生成并发 region_* 流量，这将被视为真实的主机错误。使用 list_splice_init（），以便在每次 splice 之后将源头重新初始化为空，从而确保重试循环安全。（CVE-2026-74518）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ublk：重置 ublk_ctrl_add_dev（） 中内核拥有的 dev_info 字段 ublk_ctrl_add_dev（） memcpy（） 将用户空间ublksrv_ctrl_dev_info到 ub->dev_info，然后修复驱动程序拥有但缺少的字段
    ->state 和 ->ublksrv_pid。添加的设备 ->state = UBLK_S_DEV_LIVE 通过 ->state ！= UBLK_S_DEV_DEAD 测试，该测试由 ublk_stop_dev_unlocked（） 用作其磁盘代理附加时
    ->ub_disk 仍然是 NULL，因此DEL_DEV紧接在 del_gendisk（） 中ADD_DEV oops之后。在 ublk_force_abort_dev（） 中，UBLK_S_DEV_QUIESCED plus UBLK_F_USER_RECOVERY 提前一步停止响应。中毒的 ->state 也会START_USER_RECOVERY，字符设备读取/写入路径到从未启动的设备上，并且插入 -EEXIST 处START_DEV。中毒的 ->ublksrv_pid 只会使 GET_DEV_INFO 将不相关的任务报告为 ublk 服务器。像 ublk_detach_disk（） 一样，在 memcpy（） 之后重置两者。用户空间只会回读这些漏洞，因此静默修正并不会中断任何问题。自合并 ublk 以来，ADD_DEV 以未审查的方式复制了 ->state，但在当时它是无害的：在 ADD_DEV 期间分配 gendisk，并且 teardown 和 START_DEV -EEXIST 检查都键关闭 disk_live（） 而不是 ->state。当磁盘分配移动到 START_DEV 且这些检查切换到 ->状态后，oops 便可访问。（CVE-2026-74472）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sctp：防止对等机传输计数溢出 sctp_assoc_add_peer（） 会为每个新的唯一对等机递增关联的 16 位transport_count。添加第 65,536 次传输会将计数封装为零。SCTP sock_diag 使用 transport_count 预留 INET_DIAG_PEERS 负载，然后为transport_addr_list中的每个条目复制一个sockaddr_storage。封装后，诊断转储会保留一个空负载，并将 8 MiB 的对等机地址写入 skb 尾部。当transport_count达到U16_MAX时拒绝新的唯一对等机。在现有对等机查找之后执行检查，以便重复地址在限制时继续返回其现有传输。（CVE-2026-74469）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：usb-audio：修复设置 fill_max 时的 DMA 缓冲区越界写入 USB 音频端点通过 fill_max 描述符标记请求完整数据包传输时，data_ep_set_params（） 会将 ep->curpacksize 提升为 ep->maxpacksize。但是，maxsize 保留为原始采样率派生值。
    由于 u->buffer_size 被分配为 maxsize * 数据包，因此生成的 DMA 缓冲区对于请求的传输长度来说太小。当 USB 主机控制器流式处理最多到每个数据包的 curpacksize 字节数时，它会通过 DMA 写入超过缓冲区末尾，从而损坏内核堆内存。设置 fill_max 使分配的 DMA 缓冲区大小与实际传输请求大小匹配时，将 maxsize 更新为 curpacksize。[更改为仅在设置了 ep->fill_max 时才重新分配最大大小 -- tiwai ]（CVE-2026-74498）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - can：peak_usb：验证 uCAN 接收记录长度 pcan_usb_fd_decode_buf（） 遍历打包在一个 USB 接收缓冲区中的 uCAN 记录。要求每条记录都包含其类型的固定标头，并在将 CAN 负载字节复制到 skb 之前对其进行验证。（CVE-2026-74455）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：ISO：修复套接字释放后泄漏的 sk iso_sock_kill（） 测试！sock_flag（sk， SOCK_ZAPPED） ||sk->sk_socket ||sock_flag（sk， SOCK_DEAD） 进行早期返回，但这始终成立，因为 sock_orphan（sk） 设置SOCK_DEAD，因此套接字发布的 sk 引用始终泄漏，iso_sock_destruct永远不会被调用。
    当 __iso_sock_close（） 未设置SOCK_ZAPPED时，套接字引用也会泄漏，这是因为 iso_conn_del（） 未在 zapping 之后调用 iso_sock_kill（）。通过将 SOCK_DEAD 替换为未用于其他内容的标记BT_SK_KILLED修复，并lock_sock确保 iso_sock_kill（） 仅在套接字释放之后放置 sk 一次。Release 和 iso_conn_del 可以同时运行。从 iso_conn_del（） 调用 iso_sock_kill（） 以在 zapping 后清除 sk。从 iso_sock_close（） 删除对 iso_sock_kill（） 的调用，因为它通常不会。
    (CVE-2026-74536)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/vmwgfx：避免 vkms init 失败时 destroy_workqueue（NULL） 通过 vmw_vkms_init（） 的两条路径可使 vmw->crc_workq 为 NULL，同时仍使驱动程序的其余部分处于在模块卸载时调用 vmw_vkms_cleanup（） 的状态：1. vmw_host_get_guestinfo（GUESTINFO_VBLANK， ...） 失败或返回超大缓冲区
    -- 没有 VBLANK guestinfo 条目的主机上的常见情况 -- 工作队列分配之前提前返回。2. alloc_ordered_workqueue（） 在内存压力下返回 NULL。vmw_vkms_cleanup（） 然后调用 destroy_workqueue（NULL），这将取消引用 wq->name 并发生错误。通过删除过早的 return： vmw->vkms_enabled 在 rpci-failure 路径中已为 false，修复第一种情况，因此不会有任何工作排队，并且无条件分配工作队列可使控制流保持简单。通过使用空检查保护清除来修复第二种情况，因为 alloc_ordered_workqueue（） 在内存不足时仍会失败。
    (CVE-2026-74442)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：6fire：修复探测期间处理错误时的 UAF 尽管 6fire 驱动程序有一些补丁用于处理探测阶段的早期错误处理，但它在释放资源之前忘记了待定的 URB，这可能导致 UAF。此修补程序通过执行与错误路径中的正常断开连接阶段几乎相同的清理过程来解决此问题。（CVE-2026-74505）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hwmon：（nzxt-smart2） DMA-align 输出缓冲区 Sashiko 报告： 当 send_output_report（） 调用 hid_hw_output_report（） 时，底层 USB HID 核心会调用 usb_interrupt_msg（），后者会直接将此缓冲区映射给 DMA。DMA 映射刷新或使高速缓存块无效时，将损坏由 CPU 同时修改的相邻变量（互斥体、update_interval）。此漏洞会因在非相干的 CPU 架构（如 ARM 或 MIPS）上的高速缓存块共享而造成内存损坏。DMA API 调试工具 （CONFIG_DMA_API_DEBUG） 将针对此违规触发运行时警告。任何触发 send_output_report（） 的操作（如设置风扇速度或更新间隔）都会导致 USB DMA 映射。在具有非相干缓存的系统上，此结构性缺陷会造成立即确定性的内存损坏。将输出缓冲区与ARCH_DMA_MINALIGN对齐以修复问题。（CVE-2026-74551）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - netfilter：xt_hashlimit：验证哈希表支持 XT_HASHLIMIT_RATE_MATCH XT_HASHLIMIT_RATE_MATCH 标记模式更改表示哈希表中条目的 dsthash_ent 结构的语义。
    有一个联合区域，它使用不同的布局来表示费率匹配模式。更新 .checkentry 路径，以验证参考同一哈希表的两个或多个不同规则请求的 XT_HASHLIMIT_RATE_MATCH 模式标记。否则，可能未初始化访问并集中的突发字段。
    如果由小于 3 的修订版设置，则拒绝使用 XT_HASHLIMIT_RATE_MATCH 模式标记。
    (CVE-2026-74564)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：修复 __close_file_table_ids（） 中的释放后使用 当另一个会话保留通过 ksmbd_lookup_fd_inode（） 获取的临时引用时，ksmbd_file可在逻辑关闭之后保持活动状态。
    ksmbd_close_fd（） 目前将文件标记为已关闭并终止 idr 拥有的引用，但会保留在结束会话的 idr 中发布的指针，直到最终引用终止为止。如果外部持有者执行最终 ksmbd_fd_put（），则 __put_fd_final（） 将外部会话的文件表提供给
    __ksmbd_close_fd（）。随后会释放该对象而不从其所有者的 idr 中删除，所有者会话稍后会在文件表拆卸期间取消引用过时指针。在 ksmbd_close_fd（） 仍保留该表的锁时，从所有者的 idr 中删除可变性 id，并在丢弃 idr 拥有的引用之前清除volatile_id。然后，较后的外部最终放置仅执行物理损毁，无法从错误表中移除对象。（CVE-2026-74522）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：bridge：删除端口群组后停止快速离开 br_multicast_leave_group（） 在其快速离开路径中迭代 pp = &p->next 的 mp->ports。br_multicast_del_pg（） 删除 p 之后，继续循环通过已删除的条目推进 pp。如果启用了多播到单播，则网桥可以为同一端口和具有不同源 MAC 地址的组容纳多个端口组。禁用多播到单播后，br_port_group_equal（） 仅通过端口匹配这些条目。快速离开可以删除一个条目，然后从其过时的下一个指针继续，留下指向已删除的端口组的 mp->ports。Fast leave 只需删除一个匹配的端口组。在 br_multicast_del_pg（） 之后中断，以便循环在取消引用已删除条目之前停止。（CVE-2026-74480）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - binfmt_misc：当删除条目时，还原写入权限 使用 MISC_FMT_OPEN_FILE 标记注册条目会通过 open_exec（） 打开解释器，只要该条目存在，解释器就会拒绝对该条目的写入访问。删除该条目会通过 filp_close（） 关闭解释器文件，但不会恢复写入访问权限，从而使 inode 的i_writecount永久为负。在条目消失很久之后，打开解释器进行写入会一直因 ETXTBSY 而失败，直到 inode 从 inode 缓存中逐出为止。提交 90f601b497d7（binfmt_misc：关闭由 open_exec（）） 打开的文件之前还原写入权限）修复了 bm_register_write（） 的错误路径中的相同不平衡，但自引入该标记以来，实际的删除路径一直在泄漏写入拒绝。关闭解释器文件之前，还原 put_binfmt_handler（） 中的写入权限。（CVE-2026-74487）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：hci_conn：保持 abort_conn_sync（） 中的 conn 引用 如果在 hci_sync 任务运行时释放 conn，理论上存在 UAF。按住 refcount 以避免此问题。（CVE-2026-74531）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hwmon：（lm90） 仅在驱动程序准备就绪时报告警报 用户空间可在驱动程序注册完成前、devm_hwmon_device_register_with_info（） 被调用之后立即读取 sysfs 属性。此时，data->hwmon_dev 尚未初始化。这可触发空指针访问，因为 lm90_update_device（） 并将被调用 lm90_update_alarms_locked（）。此调用会计划 report_work 和 lm90_report_alarms（），后者会将仍然为空的数据>hwmon_dev传递到 hwmon_notify_event（） 并触发空指针取消引用。通过仅设置报告计划和警报工作人员数据>hwmon_dev来修复问题。（CVE-2026-74552）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - can：ems_usb：验证 CPC 消息长度 ems_usb_read_bulk_callback（） 遍历打包在一个 USB 接收缓冲区中的 CPC 消息。检查声明的每封邮件是否适合 URB 负载。还要求特定于类型的负载涵盖 CAN、状态、错误和溢出处理程序使用的字段。（CVE-2026-74460）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：mpls：初始化 mpls_getroute（） 中的 rtm_tos mpls_getroute（） 通过填充从数据区域未归零的 skb 分配的 struct rtmsg 来构建对 RTM_GETROUTE 请求的RTM_NEWROUTE回复 （alloc_skb（NLMSG_GOODSIZE， ...））。它设置了标头的每个字段，除了 rtm_tos：r = nlmsg_data（nlh）;
    r->rtm_family = AF_MPLS;r->rtm_dst_len = 20;r->rtm_src_len = 0;r->rtm_table = RT_TABLE_MAIN;
    r->rtm_type = RTN_UNICAST;r->rtm_scope = RT_SCOPE_UNIVERSE;r->rtm_protocol = rt->rt_protocol;
    r->rtm_flags = 0;结构 rtmsg 没有 padding ，因此会直接将一个未初始化字节rtm_tos（偏移 3）复制到 recvmsg（） 上的用户空间，从而泄漏一个字节的未初始化堆内存。这与 mpls_dump_route（） 形成鲜明对比，后者填充完全相同的标头并设置 rtm_tos = 0。将 rtm_tos 初始化为 0，匹配 mpls_dump_route（）。通过添加 MPLS 路由并为其标签发出非RTM_F_FIB_MATCH RTM_GETROUTE，用 KMSAN 重现： 缺陷：KMSAN：_copy_to_iter+0x36c/0x33f0 中的内核信息泄露
    _copy_to_iter+0x36c/0x33f0 __skb_datagram_iter+0x196/0x12c0 skb_copy_datagram_iter+0x5b/0x210 netlink_recvmsg+0x37b/0xef0 ... Uninit 创建位置：__alloc_skb+0x8ca/0x10e0 mpls_getroute+0x1280/0x3a40 rtnetlink_rcv_msg+0x1138/0x15a0 ... 字节 19（共 64 个字节）未初始化（字节 19 = nlmsghdr（16） + rtmsg 偏移量 3 = rtm_tos） （CVE-2026-74577）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：seq：修复 initialize_timer（） 中的除以零错误 用户空间驱动的 ALSA 定时器 （SND_UTIMER） 允许非特权用户通过 SNDRV_TIMER_IOCTL_CREATE 将后备snd_timer的硬件解析设置为任意 64 位值。snd_utimer_create（） 仅拒绝零。当这样的定时器绑定到音序器队列时，initialize_timer（） 将刻度周期计算为 tmr->ticks = 1000000000 / （r * freq）;其中 are 是用户控制的分辨率，freq 是以 Hz 为单位的音序器更新速率，钳制为 MIN_FREQUENCY。MAX_FREQUENCY （10..6250）。分辨率为 2^63 会使 64 位乘积 r * freq 对任何偶数频率（包括 DEFAULT_FREQUENCY （1000））封装为零，因此除法会因除以零而发生错误。
    该分部在禁用中断的 tmr->lock 下运行，因此 oops 会保留旋转锁并挂起 CPU。可访问 /dev/snd/timer 和 /dev/snd/seq 的非特权用户访问它。哎呀：
    除法错误：0000 [#1] SMP KASAN PTI CPU：7 UID：1000 PID：456 通信：alsa_seq_utimer 未受感染 7.2.0-rc4+ RIP：0010：initialize_timer.constprop.0+0x20a/0x2d0 snd_seq_timer_start+0x15e/0x2b0 snd_seq_control_queue+0x56f/0xba0 snd_seq_write+0x3e0/0x730 拒绝具有 check_mul_overflow（） 的溢出产品并回退到单一刻度， 这也避免将封装但非零的除数（例如 2^63 * 1000 mod 2^64 == 0 或其他封装为小值的分辨率）送入周期计算。（CVE-2026-74504）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：usb-audio：修复 ump_to_endpoint（） 中的释放后使用 create_midi2_ump（） 在 ump->private_data 中注册了卡拥有的snd_ump_endpoint并在 ump- 中存储指向其每个接口snd_usb_midi2_ump对象的反向指针，但它从不安装 ump->private_free 挂钩且从不清除该指针。如果 snd_usb_midi_v2_create（） 的后续步骤失败，其错误路径将调用 free_all_midi2_umps（），其 kfree（） 会在已注册的端点继续指向该对象的同时对snd_usb_midi2_ump对象进行攻击。创建的 /dev/snd/umpC*D* 节点保持暴露状态，因此任何 UMP 打开的第一个操作 ump_to_endpoint（） 都会取消引用悬摆的 ump->private_data，并从已释放的内存中读取 rmidi->eps[dir]。因此，恶意 USB MIDI 2.0 设备会在注册端点后造成创建失败，从而可在随后打开 UMP 节点时触发 slab 释放后使用读取。在释放对象之前清除端点的反向指针，并让 ump_to_endpoint（） 容忍空private_data，以便打开/关闭/触发回调干净地失败（其调用方已处理空端点），而不是取消引用过时的指针。
    由 XBOW 发现，由 Baul Lee <baul.lee@xbow.com> 分类 （CVE-2026-74501）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：HIDP：验证编号报告负载 当 hidp_get_raw_report（） 等待编号报告时，hidp_process_data（） 会将预期的报告编号与 skb->data[0] 进行比较。连接的 HIDP 对等方只能使用 DATA 事务标头进行回复，删除该标头后 skb 留空。KMSAN 报告 hidp_session_run（） 中使用未初始化值，其值源自 __alloc_skb（） 到 vhci_write（）。事务标头检查会删除空框架报告，但此报告会一直保留到添加负载检查为止。比较还可消耗超出声明的 L2CAP PDU 的对等机控制字节。数据 |FEATURE 响应后接额外 0x01 字节使当前代码接受该字节作为报告 ID 1，并使用零字节的结果完成 HIDIOCGFEATURE。通过此变更，畸形响应将通过 -EIO 拒绝，而后续的有效响应仍然会成功。比较带编号的报告 ID 之前需要一个负载字节。无编号的报告继续接受空负载。
    (CVE-2026-74507)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：ISO：锁定 iso_sock_getname 中的 sk 访问 iso_pi（sk）->conn 需要 lock_sock，但此处不包含。通过添加锁定/释放进行修复。（CVE-2026-74539）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - binfmt_misc：不让“F”条目固定其自己的实例 以“F”注册的条目在注册时打开其解释器并保留该文件直到该条目释放为止。没有人手动删除的任何条目只有在binfmt_misc超级块关闭后才会关闭。如果解释器位于保持该超级块活动状态的挂载上，则两者会相互固定：binfmt_misc sb -> inode -> entry -> interp_file
    -> vfsmount -> binfmt_misc sb TL;DR：该文件永远不会关闭。挂载命名空间消失之后，将不会通过任何一个项目取消注册。有两种方式可触发此缺陷：- 将解释器指向实例本身。其文件为挂载器拥有的常规文件，bm_get_inode（） 和 simple_fill_super（） 都保留i_op empty_iops。因此，notify_change（） 回退到 simple_setattr（） 并且 chmod +x 工作。我们从未设置过SB_I_NOEXEC，因此 open_exec（） 接受它。- 将该实例用作 overlayfs 下层。叠加超级块保留每个层的clone_private_mount（），直到它被销毁并且该克隆不存在于任何命名空间中。因此，umount_tree（） 永远无法到达它。这是一个 DoS。泄漏的不仅仅是超级块。它会固定挂载的用户命名空间，因此每次迭代都会永久消耗调用方的一个用户命名空间费用。所以让我们做理智的事情吧。SB_I_NOEXEC会使 open_exec（） 在实例自己的文件上失败，并s_stack_depth使 overlayfs 在层克隆之前拒绝该层。其中还涵盖 ecryptfs 和 fuse 传递变体。“F”的承诺没有改变。stable 标签有意比 Fixes 标签窄。在沙盒挂载之前，这需要针对每个人共享的单个实例的全局根，并且该更改无论如何不适用于这些树。请注意，SB_I_NODEV会针对 userns 挂载隐式引发，但此处也明确引发。（CVE-2026-74484）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - KVM：x86：在销毁 vCPU 之前取消延迟的 I/O APIC EOI 处理。在虚拟机破坏前阶段，在销毁 vCPU 之前，取消（并刷新）I/O APIC 延迟的 EOI 处理工作，因为如果该行被断言，处理 EOI 广播将注入另一个 IRQ，即会尝试将 IRQ 传送到目标 vCPU。如果在销毁 vCPU 后处理延迟工作，则在销毁 vCPU 后取消作业会导致 UAF。缺陷：KASAN：__kvm_irq_delivery_to_apic_fast+0x9bf/0xa20 arch/x86/kvm/lapic.c：1250 中的释放后使用 slab-use-after-free 由任务 kworker/1:2/1218 在地址 ffff8880499abea0 读取的大小为 8 CPU：1 UID：0 PID：1218 Comm：kworker/1:2 未受感染 7.1.0-rc7 #5 PREEMPT（lazy） 硬件名称：QEMU Ubuntu 25.10 PC v2（i440FX + PIIX，+ 10.1 machine，1996 年），BIOS 1.16.3-debian-1.16.3-2 04/01/2014 工作队列： 事件kvm_ioapic_eoi_inject_work调用跟踪： <TASK> __dump_stack lib/dump_stack.c：94 dump_stack_lvl+0x100/0x190 lib/dump_stack.c：120 print_address_description mm/kasan/report.c：378 print_report+0x139/0x4ad mm/kasan/report.c：482 kasan_report+0xe4/0x1d0 mm/kasan/report.c：595
    __kvm_irq_delivery_to_apic_fast+0x9bf/0xa20 arch/x86/kvm/lapic.c：1250
    __kvm_irq_delivery_to_apic+0xd8/0xbf0 arch/x86/kvm/lapic.c：1345 kvm_irq_delivery_to_apic arch/x86/kvm/lapic.h：129 ioapic_service+0x308/0x590 arch/x86/kvm/ioapic.c：492 kvm_ioapic_eoi_inject_work+0x13c/0x190 arch/x86/kvm/ioapic.c：532 process_one_work+0xa59/0x19a0 kernel/workqueue.c：3314 process_scheduled_works kernel/workqueue.c：3397 worker_thread+0x5eb/0xe50 kernel/workqueue.c：3478 kthread+0x370/0x450 kernel/kthread.c：436 ret_from_fork+0x72b/0xd30arch/x86/kernel/process.c：158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S：245 </TASK> 请注意，一旦 kvm_destroy_vm（） 启动，VM 便无法访问，且通过 kvm_ioapic_send_eoi（） 计划新工作只能通过 KVM_RUN 完成，即需要实时 vCPU。或者，KVM 可以在 VM 销毁的预阶段期间简单地破坏 I/O APIC，但这变得有点粗略，因为 KVM 预期在 ioapic_in_kernel（） 为真时 I/O APIC 存在，而且嵌套虚拟化尤其有一个坏习惯，那就是在 vCPU 销毁期间接触 VM 范围状态。例如，尝试在预阶段释放 PIC 会导致 kvm_cpu_has_extint（） 中出现空指针取消引用，不难想象 I/O APIC 也存在类似缺陷。（CVE-2026-74517）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mm/huge_memory：在释放拆分后作品集之前解锁 i_mmap_rwsem __folio_split（） 在拆分后继续取消引用映射：shmem_uncharge（mapping->host） 和 remap_page（），当作品集仍处于冻结/锁定状态时，以及在拆分后作品集解锁并释放后，在最后i_mmap_unlock_read（映射）。没有任何内容包含跨越的 inode 引用。拆分依赖于@folio（beyond-EOF 终止循环从不删除，因为它从 folio_next（folio） 开始）保持锁定状态并在页面缓存中以阻止逐出。但是解锁循环会在 i_mmap_unlock_read（） 运行之前解锁@folio。
    如果调用方的@lock_at是 EOF 之外的尾部，正如在截断期间拆分超出 i_size 的 shmem THP 的中毒尾部时所传递的那样，memory_failure（） 会传递），则该函数也会从页面缓存中消失;因此，一旦解锁@folio，将不会锁定缓存内 folio 固定 inode，并发的最终 iput（） 可在 i_mmap_unlock_read（） 接触 i_mmap_rwsem 之前驱逐它并用 RCU 释放它：缺陷：KASAN：中的 slab-use-after-free
    __up_read+0x634/0x790 i_mmap_unlock_read include/linux/fs.h：537 [内联] __folio_split+0x732/0x1640 mm/huge_memory.c：4100 try_to_split_thp_page+0xab/0x390 mm/memory-failure.c：1675 memory_failure+0x1394/0x26e0 mm/memory-failure.c：2470 由任务 4601 释放：
    shmem_free_in_core_inode+0x54/0xb0 mm/shmem.c：5177 evict+0x57f/0xac0 fs/inode.c：870 在 @folio 仍固定 inode 时执行每个映射取消引用：在 remap_page（） 之后立即删除i_mmap_rwsem，在解锁和释放拆分后作品集的循环之前，并清除@mapping，以便退出路径不再解锁它。shmem_uncharge（） 和 remap_page（） 在该点之前已运行，因此在此之后，解锁循环之后的任何内容都不会接触 inode 或映射。现在这是拆分所依赖的规则，同时保持@folio冻结直到页面缓存更新：拆分后作品集开始解锁后没有 inode 或映射取消引用。（CVE-2026-74482）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - forcedeth：修复 nv_remove nv_remove（） 中的 UAF 的 txrx_stats 在 unregister_netdev（） 之前释放每 CPU txrx_stats。在取消注册完成之前，ndo_get_stats64 NAPI/xmit 数据路径和 nv_close（）/drain 可能仍会访问txrx_stats，从而导致释放后使用。仅在 unregister_netdev（） 之后释放统计数据。（CVE-2026-74548）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xsk：回收 ZC 批次路径中无效的 Tx 描述符 零复制 Tx 批次解析器在遇到无效描述符时停止。如果在一个或多个连续描述符之后发生这种情况，则 Tx 使用者可以提前超过既未提交给驱动程序也未通过完成环返回到用户空间的片段。当数据包超过 xdp_zc_max_segs 时，会发生类似的问题。消耗到上限的描述符将在未完成的情况下释放，其余连续描述符随后可被解释为另一个数据包的开头。以数据包为单位解析 Tx 批次，并将属于完整有效数据包的描述符与耗尽无效数据包或超大数据包时消耗的描述符区分开来。将前者返回给驱动程序，并将后者附加到 CQ 地址区域，以便用户空间可以回收其 UMEM 帧。将独立的无效描述符视为单描述符仅回收数据包。推进 Tx-ring 使用者会释放环槽，但本身不会将引用的 UMEM 帧的所有权返回给用户空间。一旦开始耗尽，请继续进行，直到消耗完数据包的数据包结尾描述符。尚未提供 EOP 时，保留套接字上的漏状态，以便在以后的调用期间可以继续耗尽。将不完整但在其他方面有效的数据包留在 Tx 环上。使用多缓冲区 Tx 的 Shared-UMEM 池也需要数据包帧解析。一次遍历一个数据包的 Tx 套接字，保留现有的按套接字公平性方案，而不是使用旧的单描述符回退。保留该回退用于不使用多缓冲区 Tx 的共享池。由于每个套接字都保持漏状态，并且单异路径和共享路径都可以恢复中断的漏，因此将套接字列表从单数更改为共享不需要特殊的绑定时间转换。CQ 条目与位置有关，驱动程序可能只完成 xsk_tx_peek_release_desc_batch（） 返回的部分 Tx 工作。因此，当早期驱动程序可见的描述符仍未完成时，无法立即发布仅回收条目。跟踪回收条目之前驱动程序可见的 CQ 条目数。让 xsk_tx_completed（） 发布部分硬件 Tx 完成，并仅在每个较早的 Tx 描述符完成后才发布回收条目。当前面没有驱动程序可见的工作时，立即完成仅回收批处理，并防止在回收条目待定时附加另一个 Tx 批次。还按池的临时描述符数组的大小限制批处理，因为属于共享 UMEM 的套接字的 Tx 环可能具有不同的大小。这可确保 ZC 批次路径消耗的每个无效 Tx 描述符都作为有效数据包的一部分提交给驱动程序，或返回至用户空间，而不违反 CQ 完成顺序。
    (CVE-2026-74558)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/vmwgfx：拒绝没有 DX 上下文的DX_BIND_QUERY vmw_cmd_dx_bind_query（） 会无条件取消引用 sw_context->dx_ctx_node->ctx。用户空间可通过在命令流中提交带有 dx_context_handle == SVGA3D_INVALID_ID 和 SVGA_3D_CMD_DX_BIND_QUERY opcode 的 execbuf，从任何渲染节点 fd 触发空指针取消引用：dx_ctx_node 保留为空且内核在分配时失败。然后通过 vmw_context_get_dx_query_mob（） 在 vmw_resources_reserve（） 中重新读取相同的 NULL。所有同级 DX 处理程序都使用 VMW_GET_CTX_NODE（） 因缺少dx_ctx_node而无法关闭。此处使用相同的模式，在发布任何重定位状态之前预先返回 -EINVAL。（CVE-2026-74445）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - keys：修复 keyring_get_key_chunk（） 中的越界读取 对于描述级区块 keyring_get_key_chunk（） 会将读取指针前进 * sizeof（long） 级超过内联前缀，但仅会对前缀进行边界检查，因此会读取足够长的密钥描述超出其 kmemdup（desc， desc_len + 1） 分配。计算完整字节偏移，并在读取前对其进行描述边界检查。只有当两个键通过哈希 x、type 和 domain_tag 块发生冲突时，walk 才会到达描述级块，因此这是从非特权 add_key（2） 到达的，具有一对构建的索引哈希冲突的相同类型键;KASAN 报告 slab-out-of-bound 读取。（CVE-2026-74567）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - rds：tcp：在 rds_tcp_laddr_check（） 中的 ipv6_chk_addr（） 上保持 RCU 锁定 rds_tcp_laddr_check（） 通过 dev_get_by_index_rcu（） 查找范围 IPv6 接口，终止 RCU 读取端锁定，然后才将裸结构 net_device * 传递到 ipv6_chk_addr（） 中。dev_get_by_index_rcu（） 仅使设备在同一 RCU 读取端部分内保持活动。rcu_read_unlock（） 之后，并发RTM_DELLINK可以释放net_device;然后，ipv6_chk_addr（） 会取消引用 __ipv6_chk_addr_and_flags（） 中的过时指针（例如
    l3mdev_master_dev_rcu（dev）），读取释放的内存。在 ipv6_chk_addr（） 调用期间保持 RCU 读取端锁定，而非在查找后立即将其释放，以便在使用设备时无法释放设备。缺陷：KASAN：__ipv6_chk_addr_and_flags 中的 slab-use-after-free （...net/ipv6/addrconf.c：1998） 通过任务 exploit/153 在地址 ffff8880106ec000 读取大小 8 调用跟踪：...kasan_report （mm/kasan/report.c：595） __ipv6_chk_addr_and_flags （...net/ipv6/addrconf.c：1998） ipv6_chk_addr （net/ipv6/addrconf.c：2031 net/ipv6/addrconf.c：1972） rds_tcp_laddr_check （net/rds/tcp.c：370） rds_bind （net/rds/bind.c：248） __sys_bind （net/socket.c：1920） __x64_sys_bind （net/socket.c：1956） do_syscall_64 （arch/x86/entry/syscall_64.c：63） entry_SYSCALL_64_after_hwframe （arch/x86/entry/entry_64.S：121） （CVE-2026-74563）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/sched：cls_u32：验证 offshift 以防止 shift-out-of-bounds u32_change（） 将用户提供的 tc_u32_sel.offshift（未签名的 char，0-255）复制到内核 knode 对象中，而不进行边界验证。当数据包稍后命中TC_U32_VAROFFSET集的 u32_classify（） 时，它会评估“ntohs（offmask &; *data） >> offshift”，其中左侧操作数是提升为 32 位 int 的 16 位值。根据 6.5.7p3，任何 C11 偏移 >= 32 都是未定义的行为，可由非特权用户通过用户/网络命名空间触发。
    UBSAN：net/sched/cls_u32.c：236：43 中的偏移越界 位移指数 32 对 32 位类型 int 过大 通过在 u32_change（） 中的过滤器创建期间拒绝偏移 >= 16 来修复此问题。（CVE-2026-74544）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：timer：关闭完成后清除SNDRV_TIMER_IFLG_DEAD snd_timer_close_locked（） 用SNDRV_TIMER_IFLG_DEAD标记实例，并在已设置该标记时提早返回，但该标记再也不会被清除。已完成的关闭以 remove_slave_links（） 结束，这会使 timeri->timer 为 NULL，因此通过 timer == NULL 路径的第二次关闭已经无害;只有中间再次打开的实例才能达到提前返回。对于此类实例，close 不取消任何链接，因此 snd_timer_instance_free（） 释放一个仍处于定时器>open_list_head上的对象，如果它是使用从属密钥打开的，则仍然处于snd_timer_master_list状态，仍然拥有任何被采用的从属，并且仍然保留其定时器和模块引用的对象。snd_seq_timer_open（） 重新打开一个实例，就像这样：在已经在内部运行 snd_timer_close_locked（） 失败后，它会在同一对象上重试其回退打开。可访问 /dev/snd/timer 和 /dev/snd/seq 的非特权用户可强制失败，因为当待定的从属服务器与新主服务器（slave_class、slave_id）密钥相匹配且目标定时器已max_instances时，snd_timer_check_master（） 会返回 -EBUSY，而 dev_class = SNDRV_TIMER_CLASS_SLAVE 的SNDRV_TIMER_IOCTL_SELECT保留调用程序提供的dev_sclass， 因此可以伪造音序器队列的密钥。
    之后，该定时器上的任何其他 snd_timer_open（）、snd_timer_check_slave（） 以及过时的 ti->owner 指针上发生错误的 /proc/asound/timers 都会取消引用释放的实例。该标志只需要在关闭过程中可见，这是其其他用户所需要的全部。一旦实例从每个列表中消失，在 remove_slave_links（） 中，在设置它的同一定时器>锁定下将其清除。
    (CVE-2026-74503)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：hci_sync：在 hci_past_sync（） 回调中保持 conn 避免向 kmalloc 可能重用的 hci_conn_valid（） 提供已释放的指针。按住 refcount 以避免此问题。（CVE-2026-74528）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：拒绝重复的 SMB2 NEGOTIATE 请求 未经认证的客户端可在SESSION_SETUP前在一个连接上发送多个成功的 SMB2 NEGOTIATE 请求。当连接处于KSMBD_SESS_NEED_SETUP状态时，smb2_handle_negotiate（） 会接受另一个 SMB3.1.1 协商并使用新的分配覆盖 conn->preauth_info。当连接释放时，只释放最终分配，每增加一个成功的请求，就会泄漏一个对象。选择方言后重复 SMB2 协商违反协议。MS-SMB2 部分 3.3.5.4 要求服务器断开连接，在此情况下不回复。设置连接在拒绝请求时退出，同时禁止响应。拒绝 SMB2 协商，除非连接是新的或正在等待 SMB1 多协议协商后的 SMB2 协商。将 conn->srv_mutex 下的 SMB1 和 SMB2 协商路径序列化，因为它们更新了整个连接的方言和协商状态。将锁定合约移动到选择状态和方言的 ksmbd_smb_negotiate_common（），并添加 ksmbd_conn_new（） 以实现一致的状态访问。（CVE-2026-74494）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - can：peak_usb：为 USB 通道索引添加边界检查 通道控制索引ctrl_idx源自 rx->len，直接来自设备 USB 负载。掩码0x0f允许值 0-15，但 usb_if->dev[] 的数组大小仅为 2。值 2-15 导致堆越界读取，最终导致 IRQ 上下文中出现内核错误。在 pcan_usb_pro_handle_canmsg（） 和 pcan_usb_pro_handle_error（） 的数组访问之前为ctrl_idx添加边界检查。（CVE-2026-74457）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：ISO：修复 kfree 与 kref_get_unless_zero hci_conn：：iso_data 的争用，可在无锁定或 RCU 的情况下访问和修改。这会导致争用 [Task hdev->workqueue] [Task 2] iso_recv iso_conn_put（conn） conn = LOAD hcon->iso_data iso_conn_free（conn） iso_conn_hold_unless_zero（conn） hcon->iso_data = NULL kfree（conn） kref_get_unless_zero（&conn->ref） /* UAF */ 以及 iso_conn_add（） vs.
    iso_conn_free（）。通过添加旋转锁 hci_conn：:p roto_lock 并将其用于保护 hci_conn：：iso_data 进行了修复。
    (CVE-2026-74533)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - afs：修复发送消息时的 UAF 在 afs_make_call（） 中，异步调用接收和销毁存在争用。如果调度的呼叫未设置呼叫>write_iter（用于指定 FS.StoreData），则第一个 rxrpc_kernel_send_data（） 不会在 msghdr 中设置MSG_MORE。
    一旦 rxrpc_send_data（） 将最后一个请求数据包排队，响应可能随时传入并导致调用完成并放置。但是，afs_make_call（） 将再次查看调用以查看它
    应该处理 ->write_iter - 只有在调用中具有自己的 ref 时才允许执行此操作。
    虽然同步调用是这种情况，但异步调用（例如 FS）则不然。FetchData。如果正在发送异步调用，但调用以某种方式失败（例如，它从服务器中止），则 afs_make_call（） 中也可能存在 UAF。此处的问题在于，如果 rxrpc 发送失败，则 afs_make_call（） 会尝试中止调用，但是来自 rxrpc 的异步通知已造成afs_call中断。generic/650 在玩游戏时随机使 CPU 离线，并可插入大量延迟，从而在 afs_make_call（） 检查调用>write_iter之前解除调用分配
    - 随后出现 UAF（被 KASAN 捕获）。缺陷：KASAN：afs_make_call+0x1c90/0x2210 中的释放后使用拉布 [kafs] 任务 fsstress/1409 在地址 ffff888035e050e8 读取大小为 8 的读取 修复方法为：使 afs_make_op_call（） 为 op->call 提供自己的 ref，而不是将调用程序的 ref 传输给 op-，然后在 afs_make_call（） 返回时放弃该 ref。这也意味着 afs_make_call（） 函数现在永远不会在调用中丢失其 ref。（CVE-2026-74506）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - gpio：pch：将raw_spinlock_t用于寄存器锁定 pch_irq_type（） 被注册为 irq_chip .irq_set_type 回调并通过 spin_lock_irqsave（） 进行芯片>自旋锁。从以下位置访问此回调
    __setup_irq（） -> __irq_set_trigger（） -> chip->irq_set_type（），而调用方持有 desc->lock，即禁用 hardirqs 的raw_spinlock_t。该上下文不可休眠，但在 PREEMPT_RT 上，常规spinlock_t是 rtmutex 支持的休眠锁定，因此在该环境中获取它是无效的。这已在具有 lockdep（PROVE_RAW_LOCK_NESTING 和 DEBUG_ATOMIC_SLEEP）的 PREEMPT_RT 内核上得到确认。接地的 PoC 镜像了 pch_irq_type（） 的锁定，并通过真正的 genirq 载波 irq_set_irq_type（） ->
    __irq_set_trigger（） -> chip->irq_set_type（），即 __setup_irq（） 为请求的 IRQ 所采用的相同 __irq_set_trigger（） 边沿。对于原始 spin_lock_irqsave（） 边缘，lockdep 报告了无效的等待上下文，紧接着是：缺陷：从位于 kernel/locking/spinlock_rt.c：48 的无效上下文调用休眠函数 in_atomic（）： 1， irqs_disabled（）： 1， non_block： 0， PID： 95，名称：insmod hardirqs 上次禁用时间 （3784）： _raw_spin_lock_irqsave+0x4f/0x60 rt_spin_lock+0x3a/0x1c0 repro_irq_set_type+0x64/0xa0 [pch_repro] __irq_set_trigger+0x69/0x140 irq_set_irq_type+0x78/0xd0 将镜像锁定切换到 raw_spinlock_t 使两个溅射声消失。将寄存器锁定转换为raw_spinlock_t。
    同一锁定还序列化 GPIO 方向/值回调和暂停/恢复寄存器保存/还原，但所有这些关键部分仅执行 MMIO 寄存器访问 （ioread32（）/iowrite32（）） 和 irq_set_handler_locked（）;它们均不含可休眠操作。因此，将此寄存器锁定保持为非休眠适用于 irqchip 回调，并且不会更改 GPIO 端锁定协定。这与最近针对其他 GPIO 控制器（例如提交 286533cb14a3（gpio：sch：在 irq 启动路径中使用 raw_spinlock_t）和提交 90f0109019e6（gpio：eic-sprd：在 irq 启动路径中使用 raw_spinlock_t）是相同类型的问题和补丁。（CVE-2026-74468）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - of/address：修复 of_pci_range_parser_one（） 中的 NULL 总线取消引用 总线匹配返工使 of_match_bus（） 对具有 ranges/dma-ranges 但没有本地 #address-cell 的节点返回 NULL。parser_init（） 存储该空总线，范围迭代器稍后会取消引用它。拒绝 parser_init（） 中的此类节点，为忽略 init 返回的调用方留下一个明确的空迭代器，并使 of_dma_get_max_cpu_address（） 遵从 init 失败，这样被拒绝的节点就无法限制 DMA 限制。
    (CVE-2026-74491)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - i2c：imx：清除从属指针之前取消 hrtimer 在 i2c_imx_unreg_slave（） 中，禁用中断后从属指针设置为空。但是，在指针清除之前，待定中断可能已经启动 hrtimer （i2c_imx_slave_timeout）。如果 hrtimer 在 i2c_imx->slave 设置为 NULL 之后触发，定时器回调 i2c_imx_slave_finish_op（） 将通过空从指针调用 i2c_imx_slave_event（），这样导致释放后使用/空指针取消引用。通过取消 hrtimer 并在禁用中断后等待其完成，然后清除从指针修复。（CVE-2026-74461）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：libiscsi：修复过时数据泄漏到 SCSI 感知缓冲区 iscsi_scsi_cmd_rsp（） 会从目标提供的数据段中复制 SCSI 响应的感知数据。该段带有 2 字节的感知长度，后跟感知字节，因此它必须包含 2 + senselen 字节，但边界检查只需要 datalen >= senselen：senselen = get_unaligned_be16（data）;if （datalen < senselen） 转至 invalid_datalen;
    memcpy（sc->sense_buffer， data + 2， min_t（uint16_t， senselen， SCSI_SENSE_BUFFERSIZE））;返回 datalen 等于 senselen（使用 senselen <= SCSI_SENSE_BUFFERSIZE）的 SCSI 响应的目标会使 memcpy（） 从 data + 2 读取超过接收数据最多两个字节。这些字节是过时的 conn->data 内容，并在返回到用户空间的命令感知缓冲区结束。考虑检查中的 2 字节感知长度前缀。（CVE-2026-74557）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iommu/iommufd：修复 IOPF 群组所有权 UAF iopf_group_alloc（） 在调用域错误处理程序之前将每个最后一页 IOPF 群组链接到通用 IOPF 待定列表中。iommufd_fault_iopf_handler（） 还将 IOMMUFD 交付列表中接受的群组排队，但未将其从通用待定列表中删除。
    当分离或 HWPT 替换将设备的 IOPF 引用计数降至零时，IOMMU 驱动程序可能会调用 iopf_queue_remove_device（）。该函数通过通用待定列表响应并释放群组，而不从 IOMMUFD 的交付列表或响应 xarray 中删除相同的群组。随后的读取、响应或清除可访问释放的群组，并造成 UAF。通过在 IOMMUFD 将接受的组排队等待用户空间响应之前，从通用待定列表中退出排队来修复此问题。使 iopf_group_response（） 无论待处理列表成员身份如何都会发送响应，这样 IOMMUFD 仍然可以完成出列的群组。
    (CVE-2026-74520)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - netfilter：nf_conntrack_sip：在 sip_help_tcp（） 中将 NAT 重写增量加宽到 s32 sip_help_tcp（） 将每条 NAT 重写的 SIP 消息的大小变更存储在 s16 diff 中，并将其累积在 s16 tdiff 中，但是当数据包保持在 65535 enlarge_skb（） 限制以下时，单条消息可能增长超过 S16_MAX：
    nf_nat_sip（） 会重写每个相符的 URI，而长联系人列表会将消息扩展数十 KB。然后 diff 封装，并且 datalen = datalen + diff - msglen 会产生一个巨大的无符号 datalen，因此下一个迭代的 ct_sip_get_header（） 会读取超过线性化的 skb 末尾。将 diff、tdiff 和 seq_adjust 挂钩加宽至 s32。两者都受到 65535 字节数据包限制的限制，并且 seqadj 核心已是 s32（nf_ct_seqadj_set（） 采用 s32），因此不会拒绝之前接受的输入。缺陷：KASAN：ct_sip_get_header 中的释放后使用 （net/netfilter/nf_conntrack_sip.c：464） 在 addr ffff8880108000000 的读取中，任务 ksoftirqd/1/25 读取大小为 1 ct_sip_get_header （net/netfilter/nf_conntrack_sip.c：464） sip_help_tcp （net/netfilter/nf_conntrack_sip.c：1694） nf_confirm （net/netfilter/nf_conntrack_proto.c：183） nf_hook_slow （net/netfilter/core.c：619） ip6_output （net/ipv6/ip6_output.c：246） ip6_forward （net/ipv6/ip6_output.c：690） ipv6_rcv （net/ipv6/ip6_input.c：351） __netif_receive_skb_one_core （net/core/dev.c：6212） process_backlog （net/core/dev.c：6676） __napi_poll （net/core/dev.c：7735） net_rx_action （net/core/dev.c：7955） handle_softirqs （kernel/softirq.c：622） run_ksoftirqd （kernel/softirq.c：1076） ...（CVE-2026-74569）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvmet-tcp：检查 nvmet_tcp_set_queue_sock 的返回值 nvmet_tcp_tls_handshake_done（） 中当前忽略 nvmet_tcp_set_queue_sock（） 的返回值。如果失败（例如，由于套接字未处于TCP_ESTABLISHED状态），套接字回调将不会得到正确设置，从而导致队列和套接字泄露。通过捕获返回值并在失败时调用 nvmet_tcp_schedule_release_queue（） 来修复此问题，以确保正确清理。（CVE-2026-74385）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dm-ioctl：修复list_version_get_info sizeof（tt->version） 为 12 字节，但代码将 16 字节写入输出缓冲区中可能的溢出 - info->vers->version[0]、info->vers->version[1]、info->vers->version[2] 和 info->vers->next。这可造成缓冲区溢出。通过将 sizeof（tt->version） 替换为 sizeof（struct dm_target_versions） 修复了此缓冲区溢出。（CVE-2026-72106）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sctp：修复 INIT 处理中的err_chunk内存泄漏 当 sctp_verify_init（） 遇到无法识别的参数时，它会分配一个err_chunk进行报告。但是，此区块会在多个代码路径中泄漏：
    1. 在 sctp_sf_do_5_1B_init（） 中，如果 security_sctp_assoc_request（） 在 sctp_verify_init（） 填充err_chunk后失败，函数会立即返回而不释放它。2. 在 sctp_sf_do_unexpected_init（） 中，security_sctp_assoc_request（） 故障路径上发生相同的泄漏。3.
    在 sctp_sf_do_unexpected_init（） 中，在将无法识别的参数复制到 INIT-ACK 后的成功路径上，函数返回而不释放err_chunk，这与正确释放它的 sctp_sf_do_5_1B_init（） 不同。通过在返回错误路径和 sctp_sf_do_unexpected_init（） 中的成功路径之前添加 sctp_chunk_free（err_chunk） 调用，修复所有三个泄漏。（CVE-2026-72413）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jbd2：修复 jbd2_journal_initialize_fast_commit（） 中的整数下溢 jbd2_journal_initialize_fast_commit（） 通过检查 （journal->j_last - num_fc_blks < JBD2_MIN_JOURNAL_BLOCKS） 来验证日志容量。j_last和num_fc_blks都是无符号的，因此当num_fc_blks超过j_last减法封装为大值时，绕过边界检查。生成的下溢会损坏 j_last、j_fc_first 和 j_free，从而导致日志中止。通过在减法之前对j_last检查num_fc_blks进行修复，返回
    -EFS 损坏。（CVE-2026-72225）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bridge：stp：修复删除桥接时潜在的释放后使用问题 当桥接管理员关闭时不应布防三个 STP 定时器。当网桥以管理员方式关闭并且各个调用站点在布防它们之前检查“IFF_UP”时，它们将同步停用。br_topology_change_detection（） 中缺少此检查，因此可以设计出这样一种情况：在网桥管理上关闭时，拓扑结构更改定时器布防，从而在删除网桥时导致释放后使用 [1]。通过添加缺失的检查进行修复，并且在删除桥接时采取良好措施同步关闭三个定时器。[1] ODEBUG：释放活动（活动状态 0）对象：
    ffff88811662b9b0 对象类型：timer_list提示：br_topology_change_timer_expired （net/bridge/br_stp_timer.c：120） WARNING： lib/debugobjects.c：629 at debug_print_object+0x1bc/0x450， CPU#9：
    IP/359 （CVE-2026-72389）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - RDMA/hns：修复cmd_mbox失败后的日志洪流 hns_roce_cmd_mbox（） 是驱动程序与硬件之间的命令接口。当硬件异常时，hns_roce_cmd_mbox（） 故障后无限的错误打印将导致日志洪流甚至系统崩溃。在 hns_roce_cmd_mbox（）（及其封装程序 hns_roce_create_hw_ctx/hns_roce_destroy_hw_ctx）失败后，将 ibdev_err（） 和 ibdev_warn（） 替换为它们在错误处理路径中的速率限制版本。（CVE-2026-74389）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/sched：cls_flow：不暴露折叠的内核指针 流分类器会针对数据包标头中缺少的字段回退到 addr_fold（）。在映射模式下，用户空间控制掩码、异或、rshift、加数和除数，并且可以通过类统计数据观察生成的分类 id。这可让用户/网络命名空间中的 tc 分类器恢复 skb->sk、skb_dst（） 或 skb_nfct（） 的 32 位折叠值。与指针哈希的标准内核实践保持一致，并将 XOR 折叠替换为密钥 siphash（密码安全）（CVE-2026-74290）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - pmdomain：imx：修复 i.MX8MP VC8000E 启动序列 根据勘误表[1]： ERR050531：VPU_NOC VC8000E/VPUMIX 启动/关闭电源循环期间，掉电握手可能会挂起。描述：VC8000E重置断言边缘和 AXI 时钟可能存在时序问题。解决方法：将 BLK_CLK_EN_CSR 的 bit2 （vc8000e_clk_en） 设置为 0，以关闭 AXI 时钟和发送到 VC8000E 的 VC8000E 时钟以及VPU_NOC m_v_2 接口发送的 AXI 时钟VC8000E启动期间（HW 取消断言VC8000E重置） 在“struct imx8m_blk_ctrl_domain_data”中添加 bool 变量is_errata_err050531以表示是否需要该变通方案。如果 is_errata_err050531为 true，请在启动 gpc 之前先清除 clk，然后在启动 gpc 后启用 clk。[1] https://www.nxp.com/webapp/Download?colCode=IMX8MP_1P33A （CVE-2026-72007）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
335793	Linux Distros 未修补的漏洞：CVE-2026-74518	high
335792	Linux Distros 未修补的漏洞：CVE-2026-74472	high
335791	Linux Distros 未修补的漏洞：CVE-2026-74469	high
335790	Linux Distros 未修补的漏洞：CVE-2026-74498	high
335789	Linux Distros 未修补的漏洞：CVE-2026-74455	high
335788	Linux Distros 未修补的漏洞：CVE-2026-74536	medium
335787	Linux Distros 未修补的漏洞：CVE-2026-74442	medium
335786	Linux Distros 未修补的漏洞：CVE-2026-74505	medium
335785	Linux Distros 未修补的漏洞：CVE-2026-74551	high
335784	Linux Distros 未修补的漏洞：CVE-2026-74564	high
335783	Linux Distros 未修补的漏洞：CVE-2026-74522	high
335782	Linux Distros 未修补的漏洞：CVE-2026-74480	critical
335781	Linux Distros 未修补的漏洞：CVE-2026-74487	high
335780	Linux Distros 未修补的漏洞：CVE-2026-74531	high
335779	Linux Distros 未修补的漏洞：CVE-2026-74552	medium
335778	Linux Distros 未修补的漏洞：CVE-2026-74460	medium
335777	Linux Distros 未修补的漏洞：CVE-2026-74577	high
335776	Linux Distros 未修补的漏洞：CVE-2026-74504	medium
335774	Linux Distros 未修补的漏洞：CVE-2026-74501	high
335773	Linux Distros 未修补的漏洞：CVE-2026-74507	high
335772	Linux Distros 未修补的漏洞：CVE-2026-74539	high
335771	Linux Distros 未修补的漏洞：CVE-2026-74484	medium
335770	Linux Distros 未修补的漏洞：CVE-2026-74517	critical
335769	Linux Distros 未修补的漏洞：CVE-2026-74482	high
335768	Linux Distros 未修补的漏洞：CVE-2026-74548	high
335767	Linux Distros 未修补的漏洞：CVE-2026-74558	medium
335766	Linux Distros 未修补的漏洞：CVE-2026-74445	medium
335765	Linux Distros 未修补的漏洞：CVE-2026-74567	high
335764	Linux Distros 未修补的漏洞：CVE-2026-74563	high
335763	Linux Distros 未修补的漏洞：CVE-2026-74544	high
335762	Linux Distros 未修补的漏洞：CVE-2026-74503	high
335761	Linux Distros 未修补的漏洞：CVE-2026-74528	high
335760	Linux Distros 未修补的漏洞：CVE-2026-74494	medium
335759	Linux Distros 未修补的漏洞：CVE-2026-74457	high
335758	Linux Distros 未修补的漏洞：CVE-2026-74533	high
335757	Linux Distros 未修补的漏洞：CVE-2026-74506	high
335756	Linux Distros 未修补的漏洞：CVE-2026-74468	medium
335755	Linux Distros 未修补的漏洞：CVE-2026-74491	medium
335754	Linux Distros 未修补的漏洞：CVE-2026-74461	high
335753	Linux Distros 未修补的漏洞：CVE-2026-74557	high
335752	Linux Distros 未修补的漏洞：CVE-2026-74520	high
335751	Linux Distros 未修补的漏洞：CVE-2026-74569	critical
335744	Linux Distros 未修补的漏洞：CVE-2026-74385	high
335743	Linux Distros 未修补的漏洞：CVE-2026-72106	high
335742	Linux Distros 未修补的漏洞：CVE-2026-72413	medium
335741	Linux Distros 未修补的漏洞：CVE-2026-72225	high
335740	Linux Distros 未修补的漏洞：CVE-2026-72389	high
335739	Linux Distros 未修补的漏洞：CVE-2026-74389	medium
335738	Linux Distros 未修补的漏洞：CVE-2026-74290	high
335737	Linux Distros 未修补的漏洞：CVE-2026-72007	medium

检测

Nessus 的 Misc. 系列

high

high

high

high

high

medium

medium

medium

high

high

high

critical

high

high

medium

medium

high

medium

high

high

high

medium

critical

high

high

medium

medium

high

high

high

high

high

medium

high

high

high

medium

medium

high

high

high

critical

high

high

medium

high

high

medium

high

medium