Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - usbip驗證 usbip_pack_ret_submit() 中的 number_of_packets USB/IP 用戶端收到 RET_SUBMIT 回應時usbip_pack_ret_submit() 會無條件覆寫網路 PDU 的 urb->number_of_packets。
    此值隨後用作 usbip_recv_iso() 和 usbip_pad_iso() 中的迴圈邊界以反覆使用 urb->iso_frame_desc[]是一種彈性陣列其大小會根據
    *original* 來自 CMD_SUBMIT 的 number_of_packets。惡意 USB/IP 伺服器可將回應中的 number_of_packets 設定為大於原先提交值的值導致當 usbip_recv_iso() 寫入超出配置區域的 urb->iso_frame_desc[i] 時造成堆積超出邊界寫入。KASAN 在核心 7.0.0-rc5 中確認了這一點： 錯誤 KASAN：usbip_recv_iso+0x46a/0x640 中的 slab-out-of-bounds 問題 vhci_rx/69 在 addr ffff888106351d40 寫入大小為 4 錯誤的位址位於右側 0 位元組的已配置 320 位元組區域 [ffff888106351c00, ffff888106351d40) 伺服器端 (stub_rx.c) 和小工具端 (vudc_rx.c) 在提交 c6688ef9f297 後已驗證 CMD_SUBMIT 路徑中的 number_of_packets (usbip
    修正 stub_rx強化 CMD_SUBMIT 路徑以處理惡意輸入) 和 b78d830f0049 (usbip修正 vudc_rx
    強化 CMD_SUBMIT 路徑以處理惡意輸入)。伺服器端會依據 USBIP_MAX_ISO_PACKETS 進行驗證因為此時尚不存在 URB。在用戶端我們有原始的 URB因此我們可以使用更嚴格的邊界回應不得超過原始的 number_of_packets。這反映了 usbip_recv_xbuff() 中針對 transfer_buffer_length 進行的實際長度的現有驗證進而針對原始配置大小檢查回應值。Kelvin Mbogo 的系列 (usb: usbip:
    修正 usbip_recv_iso() 中的整數溢位v2) 可強化接收端函式本身此修補程式透過在其來源擷取不良值 (在覆寫前的 usbip_pack_ret_submit() 中) 並使用更嚴格的 per-URB 配置界限而非全域 USBIP_MAX_ISO_PACKETS 限制來補充這項工作。透過在覆寫前檢查 rpdu->number_of_packets 與 usbip_pack_ret_submit() 中的 urb->number_of_packets 來修正此問題。違規時箝制為零使 usbip_recv_iso() 和 usbip_pad_iso() 提早安全傳回。 (CVE-2026-31607)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2026-31607

high Nessus Plugin ID 310328

版本 1.3

版本 1.2

版本 1.1

版本 1.3 Apr 26, 2026, 5:43 AM Detection (updated detection logic) Plugin metadata Plugin Feed: 202604260543
版本 1.2 Apr 26, 2026, 1:19 AM Detection (updated detection logic) Plugin metadata Plugin Feed: 202604260119
版本 1.1 Apr 25, 2026, 4:14 PM New Plugin Feed: 202604251614