Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - nfsd：修正非同步複製中的 UAF 取消和關閉 當拆卸呼叫端 （OFFLOAD_CANCEL、nfsd4_shutdown_copy、nfsd4_cancel_copy_by_sb） 爭用複製 kthread 時，非同步副本可以在釋放後釋放或使用： - find_async_copy（） 碰撞了 copy->refcount，但將副本留在 clp->async_copies 上，因此收割者的 cleanup_async_copy（） 可以與取消/關閉呼叫端同時執行 release_copy_files（）。put 和 NULL 都nf_src/nf_dst，沒有公共鎖，雙重放置nfsd_file並提前釋放它。- nfsd4_do_async_copy（） 在最終使用副本之前設定NFSD4_COPY_F_STOPPED （copy->nf_dst 上的 nfsd_update_cmtime_attr（），nfsd4_send_cb_offload（））。nfsd4_stop_copy（） 將設定的 STOPPED 位視為 kthread done，跳過 kthread_stop（），因此拆卸調用程式執行了 release_copy_files（） -- 它nf_dst放置和 NULL -- 而 kthread 仍然取消參照它 （NULL/UAF）。- 複製>copy_task從未被釘選。一擊 kthread 在返回時會自我收穫，因此 kthread_stop（） 的 get_task_struct（） 可以觸及釋放的task_struct。- co_cb 內嵌在副本中，但 nfsd4_send_cb_offload（） 僅在用戶端上保留參照，因此並行拆卸可以在CB_OFFLOAD回呼正在進行時釋放副本。將整個拆卸存留期修正為一體： - find_async_copy（） 取消連結 async_lock 下的副本 （清除 cp_clp， list_del_init）;cancel、shutdown 和 sb-cancel 路徑會透過 nfsd4_stop_copy（） 之後的 nfs4_put_copy（） 刪除 list-membership 參照。從 cleanup_async_copy（） 中刪除現在多餘的list_del修正。
    - 因為取消連結會向收割者隱藏副本，所以其 cleanup_async_copy（） 無法再移除副本的s2s_cp_stateids項目;cancel/shutdown/sb-cancel 路徑現在會自行調用 nfs4_free_copy_state（） （而 cp_clp 仍然有效），因此項目不會懸掛在釋放的記憶體上，以便自助洗衣店和 manage_cpntf_state（） 解除參照。- 為 kthread 提供自己的引用，在 wake_up_process（） 之前的 nfsd4_copy（） 中獲取，並在 nfsd4_do_async_copy（） 的末尾刪除;在呼叫 list_add（） 之前呼叫 wake_up_process（）。- 用 nfsd4_copy（） 中的 get_task_struct（） 固定 task_struct，並在 nfs4_put_copy（） 中釋放，因此每當 kthread 結束時，kthread_stop（） 都是安全的。僅在 nfsd4_stop_copy（） 中設定 NFSD4_COPY_F_STOPPED，現在一律在 release_copy_files（） 之前kthread_stop（）s;完成情況仍會透過 NFSD4_COPY_F_COMPLETED 報告，因此 nfsd4_has_active_async_copies（） 不受影響。每個拆卸呼叫端都會先從 clp->async_copies 移除副本，因此 kthread_stop（） 只會執行一次。- 在 nfsd4_send_cb_offload（） 中獲取副本引用，在 nfsd4_cb_offload_release（） 中刪除。kthread 仍然在那裡保留自己的引用，因此 refcount_inc（） 無法爭用最終的釋放。- 使用 smp_load_acquire（） 讀取cp_clp，以與無序的 set_bit（）/clear_bit（） 寫入器配對 （Documentation/atomic_bitops.rst）。（CVE-2026-89675）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nfsd：修复异步副本取消和关闭中的 UAF 当拆卸调用程序（OFFLOAD_CANCEL、nfsd4_shutdown_copy nfsd4_cancel_copy_by_sb）对复制进行争用时，可释放异步副本或在释放后使用 kthread： - find_async_copy（） 升级了 copy->refcount，但保留了 clp->async_copies 上的副本，因此 reaper 的 cleanup_async_copy（） 可与取消/关闭调用程序并发运行 release_copy_files（）。put 和 NULL nf_src/nf_dst无通用锁定，双重放置 nfsd_file并提早释放。- nfsd4_do_async_copy（） 在最终使用副本之前设置 NFSD4_COPY_F_STOPPED（copy->nf_dst 上的 nfsd_update_cmtime_attr（），nfsd4_send_cb_offload（））。nfsd4_stop_copy（） 将设置的 STOPPED 位视为 kthread 完成，跳过 kthread_stop（），因此拆卸调用程序在 kthread 仍在取消引用它时运行 release_copy_files（） -- 这会nf_dst置 NULL （NULL/UAF）。- 从未固定 copy->copy_task。一次性 kthread 在返回时会自我收获，因此 kthread_stop（） 的 get_task_struct（） 可接触释放的task_struct。- co_cb嵌入在副本中，但 nfsd4_send_cb_offload（） 仅在客户端上保留引用，因此并发拆卸可在 CB_OFFLOAD 回调执行时释放副本。将拆卸生命周期整体修复：- find_async_copy（） 取消链接 async_lock 下的副本（清除 cp_clp、list_del_init）;cancel、shutdown 和 sb-cancel 路径通过 nfsd4_stop_copy（） 之后的 nfs4_put_copy（） 丢弃 list-membership 引用。从 cleanup_async_copy（） 中放弃现在冗余的 list_del 修复。
    - 由于取消链接会对死神隐藏副本，因此其 cleanup_async_copy（） 无法再删除副本的s2s_cp_stateids条目;cancel/shutdown/sb-cancel 路径现在会自行调用 nfs4_free_copy_state（），cp_clp仍然有效），因此该条目不会悬摆在释放的内存上，以便 laundromat 和 manage_cpntf_state（） 取消引用。- 为 kthread 提供自己的引用，在 wake_up_process（） 之前的 nfsd4_copy（） 中获取并在 nfsd4_do_async_copy（） 结束时终止;先调用 wake_up_process（），然后再调用 list_add（）。- 通过 nfsd4_copy（） 中的 get_task_struct（） 固定 task_struct，在 nfs4_put_copy（） 中释放，这样 kthread_stop（） 在退出 kthread 时都是安全的。仅在 nfsd4_stop_copy（） 中设置 NFSD4_COPY_F_STOPPED，现在始终在 release_copy_files（） 之前kthread_stop（）s;完成情况仍通过 NFSD4_COPY_F_COMPLETED 报告，因此 nfsd4_has_active_async_copies（） 不受影响。每个拆卸调用程序首先从 clp->async_copies 中删除副本，因此 kthread_stop（） 只运行一次。- 在 nfsd4_send_cb_offload（） 中获取复制引用，在 nfsd4_cb_offload_release（） 中丢弃。kthread 仍然保留自己的引用，因此 refcount_inc（） 不能争用最终释放。- 通过 smp_load_acquire（） 读取cp_clp以与无序的 set_bit）/clear_bit（） 写入器配对 （Documentation/atomic_bitops.rst）。（CVE-2026-89675）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - nfsd:非同期コピーのキャンセルおよびシャットダウンの UAF を修正します ティアダウン呼び出し元(OFFLOAD_CANCEL、nfsd4_shutdown_copy、nfsd4_cancel_copy_by_sb)がコピーで競合している間に、非同期コピーが解放されたり、解放後に使用されたりする可能性があります kthread: - find_async_copy() は copy->refcount を更新しましたが、コピーを clp->async_copies に残したままにしていたため、リーパーの cleanup_async_copy() は cancel/shutdown 呼び出し元と同時に release_copy_files() を実行する可能性があります。共通ロックなしで put と NULL の両方が nf_src/nf_dst で、nfsd_fileをダブルプットし、早期に解放します。- nfsd4_do_async_copy() は、コピーの最終的な使用前にNFSD4_COPY_F_STOPPEDを設定します(copy->nf_dst の nfsd_update_cmtime_attr()、nfsd4_send_cb_offload())。nfsd4_stop_copy() は設定された STOPPED ビットを kthread の完了として処理し、kthread_stop() をスキップします。このため、kthread が依然としてそれを逆参照している(NULL/UAF)の間、ティアダウン呼び出し元が release_copy_files() を実行し、NULL をnf_dstします。- copy->copy_task が固定されませんでした。ワンショット kthread はリターン時に自己収穫するため、kthread_stop() の get_task_struct() が解放されたtask_structに触れる可能性があります。- co_cb はコピーに埋め込まれていますが、nfsd4_send_cb_offload() はクライアントでのみ参照を保持していたため、CB_OFFLOADコールバックの実行中に、同時ティアダウンによりコピーが解放される可能性があります。全体としてのティアダウンの有効期間を修正します: - find_async_copy() が async_lock のコピーのリンクを解除します(クリア cp_clp、list_del_init)。cancel、shutdown、sb-cancel パスは、nfsd4_stop_copy() の後の nfs4_put_copy() を介して list-membership 参照をドロップします。cleanup_async_copy() から現在冗長になっているlist_del修正をドロップします。
    - リンクを解除するとコピーがリーパーから隠されるため、その cleanup_async_copy() はコピーのs2s_cp_stateidsエントリを削除できなくなりました。cancel/shutdown/sb-cancel パスは(cp_clp がまだ有効な場合に)nfs4_free_copy_state() 自身を呼び出すようになり、 laundromat や manage_cpntf_state() が逆参照するためにエントリが解放されたメモリにぶら下がることはありません。- wake_up_process() の前に nfsd4_copy() で取得され、nfsd4_do_async_copy() の終わりにドロップされた、kthread に独自の参照を与えます。list_add() の前に wake_up_process() を呼び出します。- nfs4_put_copy() でリリースされた nfsd4_copy() の get_task_struct() でtask_structにピン留めし、kthread が終了するたびに kthread_stop() が安全になるようにします。現在は、常に release_copy_files() の前に kthread_stop() をする nfsd4_stop_copy() でのみNFSD4_COPY_F_STOPPEDを設定します。完了は引き続き NFSD4_COPY_F_COMPLETED を介してレポートされるため、nfsd4_has_active_async_copies() は影響を受けません。各ティアダウン呼び出し元は、最初に clp->async_copies からコピーを削除するため、kthread_stop() は 1 回だけ実行されます。- nfsd4_send_cb_offload() で参照をコピーし、nfsd4_cb_offload_release() でドロップします。kthread は依然としてそこに独自の参照を保持するため、refcount_inc() は最終的な解放を競合することはできません。- 順序付けられていない set_bit()/clear_bit() ライターとペアになるために smp_load_acquire() で cp_clp を読み取ります(Documentation/atomic_bitops.rst)。(CVE-2026-89675)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - nfsd: fix UAF in async copy cancel and shutdown An async copy could be freed or used after free while a     teardown caller (OFFLOAD_CANCEL, nfsd4_shutdown_copy, nfsd4_cancel_copy_by_sb) raced the copy kthread: -     find_async_copy() bumped copy->refcount but left the copy on clp->async_copies, so the reaper's     cleanup_async_copy() could run release_copy_files() concurrently with a cancel/shutdown caller. Both put     and NULL nf_src/nf_dst without a common lock, double-putting the nfsd_file and freeing it early. -     nfsd4_do_async_copy() set NFSD4_COPY_F_STOPPED before its final uses of the copy     (nfsd_update_cmtime_attr() on copy->nf_dst, nfsd4_send_cb_offload()). nfsd4_stop_copy() treats a set     STOPPED bit as kthread done, skip kthread_stop(), so a teardown caller ran release_copy_files() -- which     puts and NULLs nf_dst -- while the kthread still dereferenced it (NULL/UAF). - copy->copy_task was never     pinned. The one-shot kthread self-reaps on return, so kthread_stop()'s get_task_struct() could touch a     freed task_struct. - co_cb is embedded in the copy, but nfsd4_send_cb_offload() held a reference only on     the client, so a concurrent teardown could free the copy while the CB_OFFLOAD callback was in flight. Fix     the teardown lifetime as a whole: - find_async_copy() unlinks the copy (clear cp_clp, list_del_init) under     async_lock; the cancel, shutdown, and sb-cancel paths drop the list-membership reference via     nfs4_put_copy() after nfsd4_stop_copy(). Drop the now-redundant list_del fixup from cleanup_async_copy().
    - Because unlinking hides the copy from the reaper, its cleanup_async_copy() can no longer remove the     copy's s2s_cp_stateids entry; the cancel/shutdown/sb-cancel paths now call nfs4_free_copy_state()     themselves (while cp_clp is still valid) so the entry does not dangle at freed memory for the laundromat     and manage_cpntf_state() to dereference. - Give the kthread its own reference, taken in nfsd4_copy()     before wake_up_process() and dropped at the end of nfsd4_do_async_copy(); call wake_up_process() before     list_add(). - Pin the task_struct with get_task_struct() in nfsd4_copy(), released in nfs4_put_copy(), so     kthread_stop() is safe whenever the kthread exits. Set NFSD4_COPY_F_STOPPED only in nfsd4_stop_copy(),     which now always kthread_stop()s before release_copy_files(); completion is still reported via     NFSD4_COPY_F_COMPLETED, so nfsd4_has_active_async_copies() is unaffected. Each teardown caller removes the     copy from clp->async_copies first, so kthread_stop() runs exactly once. - Take a copy reference in     nfsd4_send_cb_offload(), dropped in nfsd4_cb_offload_release(). The kthread still holds its own reference     there, so the refcount_inc() cannot race the final free. - Read cp_clp with smp_load_acquire() to pair     with the unordered set_bit()/clear_bit() writers (Documentation/atomic_bitops.rst). (CVE-2026-89675)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
345027	Linux Distros 未修補弱點：CVE-2026-89675	Nessus	Misc.	2026/9/12	2026/9/17	critical
345027	Linux Distros 未修补的漏洞：CVE-2026-89675	Nessus	Misc.	2026/9/12	2026/9/17	critical
345027	Linux Distros のパッチ未適用の脆弱性: CVE-2026-89675	Nessus	Misc.	2026/9/12	2026/9/17	critical
345027	Linux Distros Unpatched Vulnerability : CVE-2026-89675	Nessus	Misc.	2026/9/12	2026/9/17	critical

检测

插件搜索

critical

critical

critical

critical