遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2026-500245 公告中提及的多個弱點影響。

    - dmg：拒絕不一致的 UDRW 區塊磁區計數和長度 （CVE-2026-65928） （Stefan Hajnoczi） [Orabug：
    39849788] {CVE-2026-65928}
    - dmg：修正 search_chunk（）CVE-2026-65929 （） 中的越界載入 （Stefan Hajnoczi） [Orabug： 39849747] {CVE-2026-65929}
    - virtio：避免打包的 vring virtio_queue_empty（） 無限迴圈 （CVE-2026-16457） （Stefan Hajnoczi） [Orabug： 39844863] {CVE-2026-16457}
    - hw/net/virtio-net：防範 DMA 重入錯誤 （Laurent Vivier） [Orabug： 39843811] {CVE-2026-66022}
    - libvduse：驗證 vq 大小 （Michael S. Tsirkin） [Orabug： 39825932] {CVE-2026-61402}
    - libvhost-user：修正 vu_check_queue_inflights 中的堆積溢位 （Michael S. Tsirkin） [Orabug： 39843801] {CVE-2026-63110}
    - libvhost-user：驗證 vu_check_queue_inflights 中的last_batch_head （Michael S. Tsirkin） [Orabug：
    39843801] {CVE-2026-63110}
    - virtio-net：修正 receive_filter（） 中的短框架 OOB 讀取 （Michael S. Tsirkin） [Orabug： 39843795] {CVE-2026-63320}
    - hw/9pfs：修正唯讀匯出時的 O_TRUNC 繞過 （Christian Schoenebeck） [Orabug： 39804678] {CVE-2026-63318}
    - hw/usb/hcd-xhci-sysbus：修正 xhci_sysbus_intr_raise（） 中的 OOB 堆積存取 （Thomas Huth） [Orabug： 39793551] {CVE-2026-16043}
    - usbredir：修正緩衝大量封包溢位的釋放後使用 （Marc-Andre Lureau） [Orabug： 39793554] {CVE-2026-15705}
    - ui/vnc：驗證 SetPixelFormat 欄位範圍 （Marc-Andre Lureau） [Orabug： 39804658] {CVE-2026-15578}

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 QEMU 的VNC伺服器實作 （ui/vnc.c） 中，set_pixel_format（） 函式無法正確驗證用戶端 SetPixelFormat 訊息中的 red_max、green_max 和 blue_max 欄位。這些欄位會以 16 位元值接收，但在內部儲存為 uint8_t。惡意 VNC 用戶端可傳送超過 255 的最大值 （例如 0x0100），該值會通過現有的非零驗證檢查，但在指派時會無訊息地截斷為 0，導致 Tight PNG 調色板編碼路徑中除以零。這允許遠端攻擊者損毀 QEMU 處理程序，導致該 QEMU 執行個體所服務的所有客體遭到拒絕服務。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-15578） 在 QEMU 的 USB 重新導向 （usbredir） 實作中，hw/usb/redirect.c 中的 usbredir_buffered_bulk_packet（） 函式中存在釋放後使用弱點。處理分割成最大封包大小區塊的多片段緩衝大量封包時，只有最終片段擁有共用剖析器記憶體配置 （透過 free_on_destroy）。如果 bufp_alloc（）由於佇列溢位而刪除最終片段，則會釋放支援緩衝區，而先前已排入佇列的片段仍保留內部指標。然後，後續客體大量傳入會從釋放的堆積記憶體讀取。惡意或受損的 USB 裝置 （或特製的 usbredir 串流） 可能會觸發此狀況，進而可能導致堆積記憶體的資訊洩露或 QEMU 處理程序崩潰 （拒絕服務）。此弱點自 QEMU v1.4.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修正。（CVE-2026-15705） 追蹤背景工作執行緒中有損矩形時，界限條件的錯誤計算會導致 OOB 寫入，進而損毀進一步的背景工作狀態，和/或觸發可能位於 VncWorker 結構之外的任何保護頁面。這可以透過無特權使用者仔細選擇客體作業系統中的顯示解析度來觸發。（CVE-2026-48002） vnc_update_freq中的迴圈邊界不正確會導致反覆運算超過最後一列，並越過 VNC stats 陣列中的最後一列。
    使用適當選擇的維度，這可能是 OOB 讀取，可存取內嵌統計資料陣列所在 VncDisplay 結構以外的記憶體。如果這擊中保護頁面，可能會觸發訪客崩潰。如果沒有，則 VNC 頻率統計資料將使用垃圾更新。（CVE-2026-48003） 在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，vnc_refresh_lossy_rect（） 函式在有損圖塊重新整理期間標記已變更點陣圖列時，包含越界寫入弱點。此函式會無條件地為每個圖塊標示已變更點陣圖的完整 VNC_STAT_RECT （64） 列。當顯示高度不是 64 像素的倍數時，最後一個磚列是部分磚，而迴圈會寫入 vs->dirty[VNC_MAX_HEIGHT] 陣列的結尾。例如，使用 2160 像素高的顯示器，最後一個統計資料磚從 y=2112 開始，而 64 列迴圈寫入列 2112-2175，將 16 列 （640 位元組） 溢位，越過已變更點陣圖進入後續 VncState 欄位。惡意 VNC 用戶端可能會利用此堆積緩衝區溢位，該用戶端協商特定的顯示解析度以損毀 QEMU 處理程序記憶體，從而導致拒絕服務或可能執行任意程式碼。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-61475） 在 QEMU 的 USB 重新導向 （usbredir） 實作 （hw/usb/redirect.c） 中，惡意 usbredir 對等體可以傳送 ep_info 訊息，在大量接收已經開始後，將 max_packet_size 重設為 0。這會導致多種可利用的條件：（1） usbredir_buffered_bulk_packet（） 中的無限循環，其中分割循環遞增 max_packet_size （0） 並且從未進展，（2） usbredir_buffered_bulk_in_complete_ftdi（） 中的 SIGFPE（浮點異常）來自模除以零運算，以及 （3） usbredir_handle_buffered_bulk_in_data（） 中的 SIGFPE，在計算bytes_per_transfer時從除以零。惡意的 USB 重新導向對等體可以利用此漏洞使 QEMU 處理程序當機 （拒絕服務） 或導致其無限期停擺。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-63319） 在 QEMU 的 9pfs （virtio-9p） 實作中，TXATTRCREATE 和 TXATTRWALK 要求處理常式不會限制同時開啟的 xattr FID 的數量。每個 xattr FID 都會為擴充屬性值配置主機記憶體緩衝區。具有直接 9p 伺服器存取權的惡意特權訪客使用者可以透過重複建立 xattr FID 而不關閉它們來利用這一點，從而導致無限的主機記憶體消耗和最終的主機記憶體耗盡 （拒絕服務）。此弱點自 QEMU v0.14.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修復。（CVE-2026-8348） 在虛擬化管理程式主機環境 （例如 QEMU） 上，v4.9.2 之前 freedesktop.org libslirp 版本的 TCP 緊急資料處理 （sosendoob） 中的越界堆積讀取和整數反向溢位，允許特權客體虛擬機器攻擊者 （root 或 CAP_NET_RAW） 透過傳送帶有操縱的 URG 旗標和緊急指標 （ti_urp） 的特製 TCP 區段，洩漏 GB 的敏感主機處理堆記憶體。（CVE-2026-9539）CVE-2026-15578 （）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 qemu 為 3.1.0-8 之前版本。因此，它會受到 ALAS2-2026-3866 公告中所提及的多個弱點影響。

    在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，set_pixel_format（） 函式無法正確驗證用戶端 SetPixelFormat 訊息中的 red_max、green_max 和 blue_max 欄位。這些欄位會以 16 位元值接收，但在內部儲存為 uint8_t。惡意 VNC 用戶端可傳送超過 255 的最大值 （例如 0x0100），該值會通過現有的非零驗證檢查，但在指派時會無訊息地截斷為 0，導致 Tight PNG 調色板編碼路徑中除以零。這允許遠端攻擊者損毀 QEMU 處理程序，導致該 QEMU 執行個體所服務的所有客體遭到拒絕服務。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-15578）

    在 QEMU 的 USB 重新導向 （usbredir） 實作中，hw/usb/redirect.c 中的 usbredir_buffered_bulk_packet（） 函式中存在釋放後使用弱點。處理分割成最大封包大小區塊的多片段緩衝大量封包時，只有最終片段擁有共用剖析器記憶體配置 （透過 free_on_destroy）。如果 bufp_alloc（）由於佇列溢位而刪除最終片段，則會釋放支援緩衝區，而先前已排入佇列的片段仍保留內部指標。
    然後，後續客體大量傳入會從釋放的堆積記憶體讀取。惡意或受損的 USB 裝置 （或特製的 usbredir 串流） 可能會觸發此狀況，進而可能導致堆積記憶體的資訊洩露或 QEMU 處理程序崩潰 （拒絕服務）。此弱點自 QEMU v1.4.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修正。（CVE-2026-15705）

    追蹤背景工作執行緒中有損矩形時，界限條件的錯誤計算會導致 OOB 寫入，進而損毀進一步的背景工作狀態，和/或觸發可能位於 VncWorker 結構之外的任何保護頁面。這可以透過無特權使用者仔細選擇客體作業系統中的顯示解析度來觸發。（CVE-2026-48002）

    vnc_update_freq中的迴圈邊界不正確，會導致反覆運算超過最後一列，並越過VNC統計資料陣列中的最後一欄。使用適當選擇的維度，這可能是 OOB 讀取，可存取內嵌統計資料陣列所在 VncDisplay 結構以外的記憶體。

    如果這擊中保護頁面，可能會觸發訪客崩潰。如果沒有，則 VNC 頻率統計資料將使用垃圾更新。（CVE-2026-48003）

    在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，vnc_refresh_lossy_rect（） 函式在有損圖塊重新整理期間標記已變更點陣圖列時，包含越界寫入弱點。此函式會無條件地為每個圖塊標示已變更點陣圖的完整 VNC_STAT_RECT （64） 列。當顯示高度不是 64 像素的倍數時，最後一個磚列是部分磚，而迴圈會寫入 vs->dirty[VNC_MAX_HEIGHT] 陣列的結尾。例如，使用 2160 像素高的顯示器，最後一個統計資料磚從 y=2112 開始，而 64 列迴圈寫入列 2112-2175，將 16 列 （640 位元組） 溢位，越過已變更點陣圖進入後續 VncState 欄位。惡意 VNC 用戶端可能會利用此堆積緩衝區溢位，該用戶端協商特定的顯示解析度以損毀 QEMU 處理程序記憶體，從而導致拒絕服務或可能執行任意程式碼。在 QEMU v11.0.3 和 v10.0.12 中修正。
    (CVE-2026-61475)

    在 QEMU 的 USB 重新導向 （usbredir） 實作 （hw/usb/redirect.c） 中，惡意 usbredir 對等體可以傳送 ep_info 訊息，在大量接收開始後將 max_packet_size 重設為 0。這會導致多種可利用的條件：（1） usbredir_buffered_bulk_packet（） 中的無限循環，其中分割循環遞增 max_packet_size （0） 並且從未進展，（2） usbredir_buffered_bulk_in_complete_ftdi（） 中的 SIGFPE（浮點異常）來自模除以零運算，以及 （3） usbredir_handle_buffered_bulk_in_data（） 中的 SIGFPE，在計算bytes_per_transfer時從除以零。惡意的 USB 重新導向對等體可以利用此漏洞使 QEMU 處理程序當機 （拒絕服務） 或導致其無限期停擺。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-63319）

    在 QEMU 的 9pfs （virtio-9p） 實作中，TXATTRCREATE 和 TXATTRWALK 要求處理常式不會限制同時開啟的 xattr FID 數目。每個 xattr FID 都會為擴充屬性值配置主機記憶體緩衝區。具有直接 9p 伺服器存取權的惡意特權訪客使用者可以透過重複建立 xattr FID 而不關閉它們來利用這一點，從而導致無限的主機記憶體消耗和最終的主機記憶體耗盡 （拒絕服務）。此弱點自 QEMU v0.14.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修復。（CVE-2026-8348）

    在虛擬化管理程式主機環境 （例如 QEMU） 上 freedesktop.org v4.9.2 之前的 libslirp 版本中，TCP 緊急資料處理 （sosendoob） 中的越界堆積讀取和整數反向溢位，允許特權客體虛擬機器攻擊者 （root 或 CAP_NET_RAW） 透過傳送具有操縱的 URG 旗標和緊急指標 （ti_urp） 的特製 TCP 區段來洩漏 GB 的敏感主機處理堆記憶體。（CVE-2026-9539）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
343529	Oracle Linux 9：qemu-kvm (ELSA-2026-500245)	Nessus	Oracle Linux Local Security Checks	2026/9/7	2026/10/2	medium
330028	Linux Distros 未修補弱點：CVE-2026-15578	Nessus	Misc.	2026/7/26	2026/9/12	high
337242	Amazon Linux 2：qemu， --advisory ALAS2-2026-3866 （ALAS-2026-3866）	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/18	medium

偵測

搜尋 Plugin

medium

high

medium