Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - usbip：驗證 usbip_pack_ret_submit() 中的 number_of_packets。USB/IP 用戶端收到 RET_SUBMIT 回應時，usbip_pack_ret_submit() 會無條件覆寫網路 PDU 的 urb->number_of_packets。
    此值隨後用作 usbip_recv_iso() 和 usbip_pad_iso() 中的迴圈邊界，以反覆使用 urb->iso_frame_desc[]，這是一種彈性陣列，其大小在 URB 配置時已根據
    來自 CMD_SUBMIT 的 *original* number_of_packets 固定。惡意 USB/IP 伺服器可將回應中的 number_of_packets 設定為大於最初提交的值，進而在 usbip_recv_iso() 寫入超出配置區域的 urb->iso_frame_desc[i] 時，造成堆積超出邊界寫入。KASAN 已在核心版本 7.0.0-rc5 證實此問題：錯誤：KASAN：在 usbip_recv_iso+0x46a/0x640 處發生 slab 超出邊界寫入。由任務 vhci_rx/69 執行的大小為 4 位元組寫入動作，發生在位址 ffff888106351d40。該錯誤位址位於已配置的 320 位元組區域 [ffff888106351c00, ffff888106351d40) 右側 0 位元組處。伺服器端 (stub_rx.c) 與 Gadget 端 (vudc_rx.c) 自從提交紀錄 c6688ef9f297 起，就已經在 CMD_SUBMIT 路徑中驗證了 number_of_packets (usbip：
    修正 stub_rx：強化 CMD_SUBMIT 路徑以處理惡意輸入) 和 b78d830f0049 (usbip：修正 vudc_rx：
    強化 CMD_SUBMIT 路徑以處理惡意輸入)。伺服器端會根據 USBIP_MAX_ISO_PACKETS 進行驗證，因為此時還不存在 URB。在用戶端，我們擁有原始 URB，因此我們可以使用更嚴格的邊界：回應不得超過原始 number_of_packets。這會針對 usbip_recv_xbuff() 中的 transfer_buffer_length 鏡像現有的實際長度驗證，進而根據原始配置大小檢查回應值。Kelvin Mbogo 的系列 (usb：usbip：
    修正 usbip_recv_iso() 中的整數溢位，v2) 可強化接收端函式本身；此修補程式可在其來源 (覆寫前的 usbip_pack_ret_submit() 中) 擷取錯誤值，並使用更嚴格的 per-URB 配置邊界，而非全域 USBIP_MAX_ISO_PACKETS 限制，藉此補充上述工作。透過在覆寫前於 usbip_pack_ret_submit() 中比對 rpdu->number_of_packets 與 urb->number_of_packets 是否一致，可修正此問題。發生違規時，箝制為零，以便 usbip_recv_iso() 和 usbip_pad_iso() 安全提早傳回。(CVE-2026-31607)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補弱點：CVE-2026-31607

high Nessus Plugin ID 310328

版本 1.31