Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - subsys/bluetooth/host/iso.c 中的 bt_iso_recv（） 透過 net_buf_pull_mem（） 從傳入 HCI ISO 資料緩衝區提取 ISO SDU 標頭 （4 位元組），或者當設定時間戳記旗標時，透過 （） 從傳入 HCI ISO 資料緩衝區提取帶有時間戳記的 SDU 標頭 （8 位元組），而無需先檢查 buf->len。上游 hci_iso（） 處理常式會強制執行 buf->len == 控制器宣告的 ISO Data_Load長度，因此已建立的 CIS/BIS 上的惡意或有錯誤的控制器/相鄰 BLE 對等體可能會呈現比 SDU 標頭短的第一個片段 （BT_ISO_START） 或單一 （BT_ISO_SINGLE） PDU。由於 net_buf_simple_pull_mem 僅使用 __ASSERT_NO_MSG 保護長度 （停用 CONFIG_ASSERT 時編譯出來，這是生產預設值），因此拉取下溢會 buf->len （uint16_t，例如 0 - 8 = 0xFFF8），並將 buf->data 推進到有效資料之後：hdr->slen 和 hdr->sn 的後續讀取是相鄰集區記憶體的越界讀取。對於多片段 （START） 情況，損毀的緩衝區會保留為 iso->rx，而後續 CONT/END 片段的 net_buf_tailroom（） 防護會反向溢位至接近SIZE_MAX值，從而破壞邊界檢查，並導致 net_buf_add_mem（） 將攻擊者提供的片段資料記憶體化，遠遠超出 RX 集區緩衝區 （越界寫入）。此缺陷會影響 ISO 接收組建 （CONFIG_BT_ISO_RX，由預設關閉的 LE 音訊選項 BT_ISO_PERIPHERAL/BT_ISO_CENTRAL/BT_ISO_SYNC_RECEIVER） 選取，並且自 ISO 子系統引入 （v2.6.0） 到 v4.4.0 以來一直存在。此修正新增了明確的 buf->len < sizeof（ts_hdr） 和 buf->len < sizeof（hdr） 檢查，這些檢查會在提取之前刪除緩衝區。（CVE-2026-10658）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - subsys/bluetooth/host/iso.c 中的 bt_iso_recv（） 通过 net_buf_pull_mem（） 从入站 HCI ISO 数据缓冲区拉取 ISO SDU 标头（4 字节），或者，在设置时间戳标记时，从入站 HCI ISO 数据缓冲区拉取带时间戳的 SDU 标头（8 字节），而无需事先检查 buf->len。上游 hci_iso（） 处理程序强制执行 buf->len == 控制器声明的 ISO Data_Load长度，因此已建立的 CIS/BIS 上的恶意或有缺陷的控制器/邻近 BLE 对等机可提供比 SDU 标头短的首段 （BT_ISO_START） 或单 （BT_ISO_SINGLE） PDU。由于 net_buf_simple_pull_mem 仅使用 __ASSERT_NO_MSG 保护长度（在禁用 CONFIG_ASSERT 时编译出来，生产默认值），pull 下溢 buf->len（uint16_t，例如 0 - 8 = 0xFFF8），并前进 buf->data 超过有效数据：hdr->slen 和 hdr->sn 的后续读取是对相邻池内存的越界读取。对于多片段 （START） 情况，损坏的缓冲区会保留为 iso->rx，而后续 CONT/END 片段的 net_buf_tailroom（） 保护会下溢至接近SIZE_MAX值，从而破坏边界检查，并导致 net_buf_add_mem（） memcpy 攻击者提供的片段数据远远超出 RX 池缓冲区（越界写入）。此缺陷影响 ISO 接收版本（由默认关闭的 LE 音频选项 BT_ISO_PERIPHERAL/BT_ISO_CENTRAL/BT_ISO_SYNC_RECEIVER 选择的 ISO 接收版本（CONFIG_BT_ISO_RX），自引入 ISO 子系统 （v2.6.0） 至 v4.4.0 以来一直存在。此补丁添加了明确的 buf->len < sizeof（ts_hdr） 和 buf->len < sizeof（hdr） 检查，用于在拉取之前删除缓冲区。（CVE-2026-10658）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - subsys/bluetooth/host/iso.c の bt_iso_recv() が、最初に buf->len をチェックせずに、ISO SDU ヘッダー(4 バイト)を、またはタイムスタンプフラグが設定されている場合、タイムスタンプ付き SDU ヘッダー(8 バイト)を net_buf_pull_mem() を介してインバウンド HCI ISO データバッファからプルしました。upstream hci_iso() ハンドラーが buf->len == コントローラー宣言の ISO Data_Load長を強制するため、確立された CIS/BIS 上の悪意のある、またはバグのあるコントローラー/隣接する BLE ピアが、SDU ヘッダーより短いファーストフラグメント(BT_ISO_START)またはシングル(BT_ISO_SINGLE)PDU を提示する可能性があります。net_buf_simple_pull_mem は長さを __ASSERT_NO_MSG 付きでのみガードするため(CONFIG_ASSERT が無効なときにコンパイルされ、本番のデフォルト)、プルアンダーフローは buf->len(uint16_t、例:0 - 8 = 0xFFF8)、buf->data を有効なデータを超えて進めます。hdr->slen と hdr->sn の後続の読み込みは、隣接するプールメモリの領域外読み込みです。マルチフラグメント(START)の場合、破損したバッファが iso->rx として保持され、後続の CONT/END フラグメントの net_buf_tailroom() ガードがほぼSIZE_MAX値までアンダーフローすることで、境界チェックが破られ、net_buf_add_mem() が RX プールバッファをはるかに超えて memcpy のフラグメントデータを memcpy します(領域外書き込み)。この欠陥はISO受信ビルド(デフォルトでオフになっているLEオーディオオプションBT_ISO_PERIPHERAL/BT_ISO_CENTRAL/BT_ISO_SYNC_RECEIVERによって選択されるCONFIG_BT_ISO_RXに影響し、ISOサブシステムが導入されてからv4.4.0まで存在しています。この修正は、buf->len < sizeof(ts_hdr) と buf->len < sizeof(hdr) チェックを追加し、プルする前にバッファをドロップします。(CVE-2026-10658)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - bt_iso_recv() in subsys/bluetooth/host/iso.c pulled the ISO SDU header (4 bytes) or, when the timestamp     flag is set, the timestamped SDU header (8 bytes) from the inbound HCI ISO Data buffer via     net_buf_pull_mem() without first checking buf->len. The upstream hci_iso() handler enforces buf->len ==     the controller-declared ISO Data_Load length, so a malicious or buggy controller / adjacent BLE peer on an     established CIS/BIS can present a first-fragment (BT_ISO_START) or single (BT_ISO_SINGLE) PDU shorter than     the SDU header. Because net_buf_simple_pull_mem only guards length with __ASSERT_NO_MSG (compiled out when     CONFIG_ASSERT is disabled, the production default), the pull underflows buf->len (uint16_t, e.g. 0 - 8 =     0xFFF8) and advances buf->data past valid data: the subsequent reads of hdr->slen and hdr->sn are out-of-     bounds reads of adjacent pool memory. For the multi-fragment (START) case the corrupted buffer is retained     as iso->rx, and a following CONT/END fragment's net_buf_tailroom() guard underflows to a near-SIZE_MAX     value, defeating the bounds check and causing net_buf_add_mem() to memcpy attacker-supplied fragment data     far past the RX pool buffer (out-of-bounds write). The flaw affects ISO receive builds (CONFIG_BT_ISO_RX,     selected by the default-off LE Audio options BT_ISO_PERIPHERAL/BT_ISO_CENTRAL/BT_ISO_SYNC_RECEIVER) and     has existed since the ISO subsystem was introduced (v2.6.0) through v4.4.0. The fix adds explicit buf->len     < sizeof(ts_hdr) and buf->len < sizeof(hdr) checks that drop the buffer before pulling. (CVE-2026-10658)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
322298	Linux Distros 未修補弱點：CVE-2026-10658	Nessus	Misc.	2026/6/24	2026/8/25	high
322298	Linux Distros 未修补的漏洞：CVE-2026-10658	Nessus	Misc.	2026/6/24	2026/8/25	high
322298	Linux Distros のパッチ未適用の脆弱性: CVE-2026-10658	Nessus	Misc.	2026/6/24	2026/8/25	high
322298	Linux Distros Unpatched Vulnerability : CVE-2026-10658	Nessus	Misc.	2026/6/24	2026/8/25	high

偵測

搜尋 Plugin

high

high

high

high