Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ksmbd：驗證num_aces並強化 ACE walk in smb_inherit_dacl（） smb_inherit_dacl（） 信任父目錄 DACL xattr 的磁碟 num_aces 值，並用它來設定堆積分配大小：aces_base = kmalloc（sizeof（struct smb_ace） * num_aces * 2， ...）;num_aces 是從 le16_to_cpu（parent_pdacl->num_aces）讀取的 u16，未檢查是否與宣告的pdacl_size一致。
    一個已認證的客戶端，其父目錄的安全性。NTACL 會被竄改（例如離線 xattr 損壞或繞過 parse_dacl（））的並行路徑，實際上可能呈現 num_aces = 65535，實際 ACE 資料極少。這會導致 ~8 MB 的配置（非 kzalloc，即未初始化），後續迴圈僅部分填充，且可能在 32 位元核心上溢出三向size_t乘法。
    此外，ACE 行走迴路使用較弱的 offsetof（struct smb_ace， access_req） 最小大小檢查，而非最小有效線上 ACE 大小，且不會拒絕宣告大小低於最小的 ACE。在 UML + KASAN + LOCKDEP 上重現，對應真實的 ksmbd 代碼路徑。一個合法的 mount.cifs 用戶端會在 SMB 上建立父目錄（ksmbd 會寫入有效的安全性。NTACL xattr），然後將支援檔案系統上的 NTACL blob 重寫為 num_aces = 0xFFFF，同時保留 posix_acl_hash 位元組，使 ksmbd_vfs_get_sd_xattr（） 的雜湊檢查仍能通過。在該父節點下對子節點進行後續的 SMB2 CREATE 會將 smb2_open（） 驅動成 smb_inherit_dacl（）（共享中有 vfs 物件 = acl_xattr set），導致頁面分配器失敗：警告：mm/page_alloc.c：5226 在 __alloc_frozen_pages_noprof+0x46c/0x9c0 工作佇列：ksmbd-io handle_ksmbd_work __alloc_frozen_pages_noprof+0x46c/0x9c0
    ___kmalloc_large_node+0x68/0x130 __kmalloc_large_node_noprof+0x24/0x70 __kmalloc_noprof+0x4c9/0x690 smb_inherit_dacl+0x394/0x2430 smb2_open+0x595d/0xabe0 handle_ksmbd_work+0x3d3/0x1140 套用補丁後，新增的守衛會在任何大型配置執行前以 -EINVAL 拒絕被篡改的值，smb2_open（） 退回到 smb2_create_sd_buffer（）， 而子節點則以預設的 SD 建立。沒有警告，沒有啪嗒聲。修正方法：1. 使用與 parse_dacl（） 相同的公式驗證num_aces與pdacl_size。2. 將原始 kmalloc（sizeof * num_aces * 2） 替換為 kmalloc_array（num_aces * 2， sizeof（...）），以實現溢位安全配置。3. 收緊每個 ACE 迴圈保護器，要求最低有效 ACE 尺寸（offsetof（smb_ace， sid） + CIFS_SID_BASE_SIZE），並剔除尺寸過小的 ACE，並以 smb_check_perm_dacl（） 和 parse_dacl（） 的硬化程度相匹配。v1 -> v2：- 將變更日誌中的合成測試模組 splat 替換為透過 mount.cifs 與 SMB2 CREATE 驅動的實路徑 UML + KASAN 重現;
    Namjae 在 v1 標記了 kcifs3_test_inherit_dacl_old 名稱，因為 ksmbd 裡沒有這個名稱。- 根據 Namjae 的審查，刪除程式碼註解中的提交雜湊引用;保留 parse_dacl（） 指標。
    (CVE-2026-31706)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：验证num_aces并强化ACE步入smb_inherit_dacl（） smb_inherit_dacl（） 信任父目录DACL xattr中的磁盘num_aces值，并用它来对堆分配进行规模化：aces_base = kmalloc（sizeof（struct smb_ace） * num_aces * 2， ...）;num_aces 是从 le16_to_cpu（parent_pdacl->num_aces）读取的 u16，未检查其是否与申报的 pdacl_size 一致。
    一个经过认证的客户端，其父目录的安全性。NTACL被篡改（例如通过离线xattr损坏或绕过parse_dacl（））的并发路径，可能呈现num_aces = 65535，实际ACE数据极少。这会导致一个 ~8 MB 的分配（不是 kzalloc，因此未初始化），导致后续循环只能部分填充，并且可能在 32 位核上溢出三路乘法size_t。
    此外，ACE步行环路使用较弱的offsetof（struct smb_ace， access_req）最小大小校验，而非最小有效线上ACE大小，且不拒绝宣告大小低于最小的ACE。在UML + KASAN + LOCKDEP上，基于真实的ksmbd代码路径重现。一个合法的mount.cifs客户端会在SMB上创建一个父目录（ksmbd写入有效的安全文件）。NTACL xattr），然后将支持文件系统的 NTACL blob 重写为 num_aces = 0xFFFF，同时保持 posix_acl_hash 字节完整，使 ksmbd_vfs_get_sd_xattr（） 的哈希检查仍然通过。随后对该父节点下的子节点进行SMB2创建，将smb2_open（）驱动到smb_inherit_dacl（）（共享中有vfs对象=acl_xattr set），导致页面分配器失败：警告：mm/page_alloc.c：5226，__alloc_frozen_pages_noprof+0x46c/0x9c0工作队列：ksmbd-io handle_ksmbd_work __alloc_frozen_pages_noprof+0x46c/0x9c0
    ___kmalloc_large_node+0x68/0x130 __kmalloc_large_node_noprof+0x24/0x70 __kmalloc_noprof+0x4c9/0x690 smb_inherit_dacl+0x394/0x2430 smb2_open+0x595d/0xabe0 handle_ksmbd_work+0x3d3/0x1140 在补丁应用后，附加的守卫会在任何大规模分配运行前用 -EINVAL 拒绝篡改值，smb2_open（） 退回到 smb2_create_sd_buffer（）， 而子节点则以默认的标准标准箱创建。没有预警，没有啪嗒声。修复方法：1. 使用parse_dacl（）中应用的相同公式验证num_aces与pdacl_size。2. 用kmalloc_array（num_aces * 2， sizeof（...）替换原始的 kmalloc（size of * num_aces * 2），以实现溢出安全分配。3. 将每个ACE环路保护器收紧，要求最低有效ACE尺寸（offsetof（smb_ace， sid） + CIFS_SID_BASE_SIZE），并拒绝尺寸不足的ACE，以匹配 smb_check_perm_dacl（）和parse_dacl（）的硬化。v1 -> v2：- 用 mount.cifs 和 SMB2 CREATE 驱动的实径 UML + KASAN 重现替换变革日志中的合成测试模块 splat;
    Namjae 在 v1 中标记了 kcifs3_test_inherit_dacl_old 名称，因为 ksmbd 中没有这个名字。- 根据 Namjae 的评测，删除代码注释中的提交哈希引用;保留parse_dacl（）指针。
    (CVE-2026-31706)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ksmbd:検証num_aces および harden ACE ウォーク イン smb_inherit_dacl() smb_inherit_dacl() は親ディレクトリのディスク上の num_aces 値を信頼し、それを使ってヒープ割り当てのサイズを決定します:aces_base = kmalloc(sizeof(struct smb_ace) * num_aces * 2, ...);num_acesは、宣言されたpdacl_sizeと整合性を確認せずに、le16_to_cpu(parent_pdacl->num_aces)から読み取ったu16です。
    親ディレクトリのセキュリティを持つ認証済みクライアントです。NTACLは改ざんされます(例:オフラインのxattr破損やparse_dacl()をバイパスする並行パスなど)は、実際のACEデータが最小限でnum_aces = 65535になることがあります。これにより~8MBの割り当て(kzallocではなく初期化されていない)が生じ、その後のループは部分的にしか埋まりません。また、32ビットカーネルの乗算が3方向size_tをオーバーフローすることがあります。
    さらに、ACEウォークループは最小有効なオンワイヤーACEサイズではなく、より弱いoffsetof(struct smb_ace, access_req)最小サイズチェックを用いており、最小サイズ未満のACEは拒否しません。実際のksmbdコードパスに対してUML + KASAN + LOCKDEP上で再現。正規のmount.cifsクライアントはSMB上に親ディレクトリを作成します(ksmbdは有効なセキュリティを書き込みます。NTACL xattr)を使い、バックアップファイルシステムのNTACLブロブを書き換え、0xFFFF num_aces posix_acl_hashバイトはそのまま保つように書き換えられ、ksmbd_vfs_get_sd_xattr()のハッシュチェックが通るようになります。その後、その親の下で子のSMB2 CREATEがsmb2_open()をsmb_inherit_dacl()にドライブします(shareのvfs objects = acl_xattr set)。これによりページアロケーターが失敗します:警告:mm/page_alloc.c:5226 at __alloc_frozen_pages_noprof+0x46c/0x9c0 ワークキュー:ksmbd-io handle_ksmbd_work __alloc_frozen_pages_noprof+0x46c/0x9c0
    ___kmalloc_large_node+0x68/0x130 __kmalloc_large_node_noprof+0x24/0x70 __kmalloc_noprof+0x4c9/0x690 smb_inherit_dacl+0x394/0x2430 smb2_open+0x595d/0xabe0 handle_ksmbd_work+0x3d3/0x1140パッチを適用すると、追加のガードは大きな割り当てを実行する前に改ざんされた値を-EINVALで拒否し、smb2_open()はsmb2_create_sd_buffer()に戻されます。 子はデフォルトのSDで作成されます。警告もなく、バシャッと音もなかった。修正方法: 1. parse_dacl()で適用されたのと同じ式を用いてpdacl_sizeに対してnum_acesを検証する。2. 生のkmalloc(サイズ * num_aces * 2)をオーバーフロー安全な割り当てのためにkmalloc_array(num_aces * 2, sizeof(...))に置き換える。3. ACEループガードを最小有効ACEサイズ(offsetof(smb_ace, sid) + CIFS_SID_BASE_SIZE)を要求するように締め付け、小さすぎるACEをsmb_check_perm_dacl()およびparse_dacl()の硬化に合わせて除外します。v1 -> v2: - チェンジログの合成テストモジュールスプラットを、mount.cifsとSMB2 CREATEを通じて駆動される実パスUML+KASAN 複製に置き換える;
    Namjaeはksmbdには存在しないため、v1でkcifs3_test_inherit_dacl_old名をフラグ付けしました。- Namjaeのレビューによると、コードコメントからコミットハッシュ引用を削除すること;parse_dacl()ポインタはそのままにしてください。
    (CVE-2026-31706)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ksmbd: validate num_aces and harden ACE walk in smb_inherit_dacl() smb_inherit_dacl() trusts the on-disk     num_aces value from the parent directory's DACL xattr and uses it to size a heap allocation: aces_base =     kmalloc(sizeof(struct smb_ace) * num_aces * 2, ...); num_aces is a u16 read from     le16_to_cpu(parent_pdacl->num_aces) without checking that it is consistent with the declared pdacl_size.
    An authenticated client whose parent directory's security.NTACL is tampered (e.g. via offline xattr     corruption or a concurrent path that bypasses parse_dacl()) can present num_aces = 65535 with minimal     actual ACE data. This causes a ~8 MB allocation (not kzalloc, so uninitialized) that the subsequent loop     only partially populates, and may also overflow the three-way size_t multiply on 32-bit kernels.
    Additionally, the ACE walk loop uses the weaker offsetof(struct smb_ace, access_req) minimum size check     rather than the minimum valid on-wire ACE size, and does not reject ACEs whose declared size is below the     minimum. Reproduced on UML + KASAN + LOCKDEP against the real ksmbd code path. A legitimate mount.cifs     client creates a parent directory over SMB (ksmbd writes a valid security.NTACL xattr), then the NTACL     blob on the backing filesystem is rewritten to set num_aces = 0xFFFF while keeping the posix_acl_hash     bytes intact so ksmbd_vfs_get_sd_xattr()'s hash check still passes. A subsequent SMB2 CREATE of a child     under that parent drives smb2_open() into smb_inherit_dacl() (share has vfs objects = acl_xattr set),     which fails the page allocator: WARNING: mm/page_alloc.c:5226 at __alloc_frozen_pages_noprof+0x46c/0x9c0     Workqueue: ksmbd-io handle_ksmbd_work __alloc_frozen_pages_noprof+0x46c/0x9c0
    ___kmalloc_large_node+0x68/0x130 __kmalloc_large_node_noprof+0x24/0x70 __kmalloc_noprof+0x4c9/0x690     smb_inherit_dacl+0x394/0x2430 smb2_open+0x595d/0xabe0 handle_ksmbd_work+0x3d3/0x1140 With the patch     applied the added guard rejects the tampered value with -EINVAL before any large allocation runs,     smb2_open() falls back to smb2_create_sd_buffer(), and the child is created with a default SD. No warning,     no splat. Fix by: 1. Validating num_aces against pdacl_size using the same formula applied in     parse_dacl(). 2. Replacing the raw kmalloc(sizeof * num_aces * 2) with kmalloc_array(num_aces * 2,     sizeof(...)) for overflow-safe allocation. 3. Tightening the per-ACE loop guard to require the minimum     valid ACE size (offsetof(smb_ace, sid) + CIFS_SID_BASE_SIZE) and rejecting under-sized ACEs, matching the     hardening in smb_check_perm_dacl() and parse_dacl(). v1 -> v2: - Replace the synthetic test-module splat     in the changelog with a real-path UML + KASAN reproduction driven through mount.cifs and SMB2 CREATE;
    Namjae flagged the kcifs3_test_inherit_dacl_old name in v1 since it does not exist in ksmbd. - Drop the     commit-hash citation from the code comment per Namjae's review; keep the parse_dacl() pointer.
    (CVE-2026-31706)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
311699	Linux Distros 未修補的弱點：CVE-2026-31706	Nessus	Misc.	2026/5/2	2026/5/10	high
311699	Linux Distros 未修补的漏洞：CVE-2026-31706	Nessus	Misc.	2026/5/2	2026/5/10	high
311699	Linux Distros のパッチ未適用の脆弱性: CVE-2026-31706	Nessus	Misc.	2026/5/2	2026/5/10	high
311699	Linux Distros Unpatched Vulnerability : CVE-2026-31706	Nessus	Misc.	2026/5/2	2026/5/10	high

检测

插件搜索

high

high

high

high