Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 QEMU 的VNC伺服器實作 （ui/vnc.c） 中，set_pixel_format（） 函式無法正確驗證用戶端 SetPixelFormat 訊息中的 red_max、green_max 和 blue_max 欄位。這些欄位會以 16 位元值接收，但在內部儲存為 uint8_t。惡意 VNC 用戶端可傳送超過 255 的最大值 （例如 0x0100），該值會通過現有的非零驗證檢查，但在指派時會無訊息地截斷為 0，導致 Tight PNG 調色板編碼路徑中除以零。這允許遠端攻擊者損毀 QEMU 處理程序，導致該 QEMU 執行個體所服務的所有客體遭到拒絕服務。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-15578） 在 QEMU 的 USB 重新導向 （usbredir） 實作中，hw/usb/redirect.c 中的 usbredir_buffered_bulk_packet（） 函式中存在釋放後使用弱點。處理分割成最大封包大小區塊的多片段緩衝大量封包時，只有最終片段擁有共用剖析器記憶體配置 （透過 free_on_destroy）。如果 bufp_alloc（）由於佇列溢位而刪除最終片段，則會釋放支援緩衝區，而先前已排入佇列的片段仍保留內部指標。然後，後續客體大量傳入會從釋放的堆積記憶體讀取。惡意或受損的 USB 裝置 （或特製的 usbredir 串流） 可能會觸發此狀況，進而可能導致堆積記憶體的資訊洩露或 QEMU 處理程序崩潰 （拒絕服務）。此弱點自 QEMU v1.4.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修正。（CVE-2026-15705） 追蹤背景工作執行緒中有損矩形時，界限條件的錯誤計算會導致 OOB 寫入，進而損毀進一步的背景工作狀態，和/或觸發可能位於 VncWorker 結構之外的任何保護頁面。這可以透過無特權使用者仔細選擇客體作業系統中的顯示解析度來觸發。（CVE-2026-48002） vnc_update_freq中的迴圈邊界不正確會導致反覆運算超過最後一列，並越過 VNC stats 陣列中的最後一列。
    使用適當選擇的維度，這可能是 OOB 讀取，可存取內嵌統計資料陣列所在 VncDisplay 結構以外的記憶體。如果這擊中保護頁面，可能會觸發訪客崩潰。如果沒有，則 VNC 頻率統計資料將使用垃圾更新。（CVE-2026-48003） 在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，vnc_refresh_lossy_rect（） 函式在有損圖塊重新整理期間標記已變更點陣圖列時，包含越界寫入弱點。此函式會無條件地為每個圖塊標示已變更點陣圖的完整 VNC_STAT_RECT （64） 列。當顯示高度不是 64 像素的倍數時，最後一個磚列是部分磚，而迴圈會寫入 vs->dirty[VNC_MAX_HEIGHT] 陣列的結尾。例如，使用 2160 像素高的顯示器，最後一個統計資料磚從 y=2112 開始，而 64 列迴圈寫入列 2112-2175，將 16 列 （640 位元組） 溢位，越過已變更點陣圖進入後續 VncState 欄位。惡意 VNC 用戶端可能會利用此堆積緩衝區溢位，該用戶端協商特定的顯示解析度以損毀 QEMU 處理程序記憶體，從而導致拒絕服務或可能執行任意程式碼。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-61475） 在 QEMU 的 USB 重新導向 （usbredir） 實作 （hw/usb/redirect.c） 中，惡意 usbredir 對等體可以傳送 ep_info 訊息，在大量接收已經開始後，將 max_packet_size 重設為 0。這會導致多種可利用的條件：（1） usbredir_buffered_bulk_packet（） 中的無限循環，其中分割循環遞增 max_packet_size （0） 並且從未進展，（2） usbredir_buffered_bulk_in_complete_ftdi（） 中的 SIGFPE（浮點異常）來自模除以零運算，以及 （3） usbredir_handle_buffered_bulk_in_data（） 中的 SIGFPE，在計算bytes_per_transfer時從除以零。惡意的 USB 重新導向對等體可以利用此漏洞使 QEMU 處理程序當機 （拒絕服務） 或導致其無限期停擺。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-63319） 在 QEMU 的 9pfs （virtio-9p） 實作中，TXATTRCREATE 和 TXATTRWALK 要求處理常式不會限制同時開啟的 xattr FID 的數量。每個 xattr FID 都會為擴充屬性值配置主機記憶體緩衝區。具有直接 9p 伺服器存取權的惡意特權訪客使用者可以透過重複建立 xattr FID 而不關閉它們來利用這一點，從而導致無限的主機記憶體消耗和最終的主機記憶體耗盡 （拒絕服務）。此弱點自 QEMU v0.14.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修復。（CVE-2026-8348） 在虛擬化管理程式主機環境 （例如 QEMU） 上，v4.9.2 之前 freedesktop.org libslirp 版本的 TCP 緊急資料處理 （sosendoob） 中的越界堆積讀取和整數反向溢位，允許特權客體虛擬機器攻擊者 （root 或 CAP_NET_RAW） 透過傳送帶有操縱的 URG 旗標和緊急指標 （ti_urp） 的特製 TCP 區段，洩漏 GB 的敏感主機處理堆記憶體。（CVE-2026-9539）CVE-2026-8348 （）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 qemu 為 3.1.0-8 之前版本。因此，它會受到 ALAS2-2026-3866 公告中所提及的多個弱點影響。

    在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，set_pixel_format（） 函式無法正確驗證用戶端 SetPixelFormat 訊息中的 red_max、green_max 和 blue_max 欄位。這些欄位會以 16 位元值接收，但在內部儲存為 uint8_t。惡意 VNC 用戶端可傳送超過 255 的最大值 （例如 0x0100），該值會通過現有的非零驗證檢查，但在指派時會無訊息地截斷為 0，導致 Tight PNG 調色板編碼路徑中除以零。這允許遠端攻擊者損毀 QEMU 處理程序，導致該 QEMU 執行個體所服務的所有客體遭到拒絕服務。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-15578）

    在 QEMU 的 USB 重新導向 （usbredir） 實作中，hw/usb/redirect.c 中的 usbredir_buffered_bulk_packet（） 函式中存在釋放後使用弱點。處理分割成最大封包大小區塊的多片段緩衝大量封包時，只有最終片段擁有共用剖析器記憶體配置 （透過 free_on_destroy）。如果 bufp_alloc（）由於佇列溢位而刪除最終片段，則會釋放支援緩衝區，而先前已排入佇列的片段仍保留內部指標。
    然後，後續客體大量傳入會從釋放的堆積記憶體讀取。惡意或受損的 USB 裝置 （或特製的 usbredir 串流） 可能會觸發此狀況，進而可能導致堆積記憶體的資訊洩露或 QEMU 處理程序崩潰 （拒絕服務）。此弱點自 QEMU v1.4.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修正。（CVE-2026-15705）

    追蹤背景工作執行緒中有損矩形時，界限條件的錯誤計算會導致 OOB 寫入，進而損毀進一步的背景工作狀態，和/或觸發可能位於 VncWorker 結構之外的任何保護頁面。這可以透過無特權使用者仔細選擇客體作業系統中的顯示解析度來觸發。（CVE-2026-48002）

    vnc_update_freq中的迴圈邊界不正確，會導致反覆運算超過最後一列，並越過VNC統計資料陣列中的最後一欄。使用適當選擇的維度，這可能是 OOB 讀取，可存取內嵌統計資料陣列所在 VncDisplay 結構以外的記憶體。

    如果這擊中保護頁面，可能會觸發訪客崩潰。如果沒有，則 VNC 頻率統計資料將使用垃圾更新。（CVE-2026-48003）

    在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，vnc_refresh_lossy_rect（） 函式在有損圖塊重新整理期間標記已變更點陣圖列時，包含越界寫入弱點。此函式會無條件地為每個圖塊標示已變更點陣圖的完整 VNC_STAT_RECT （64） 列。當顯示高度不是 64 像素的倍數時，最後一個磚列是部分磚，而迴圈會寫入 vs->dirty[VNC_MAX_HEIGHT] 陣列的結尾。例如，使用 2160 像素高的顯示器，最後一個統計資料磚從 y=2112 開始，而 64 列迴圈寫入列 2112-2175，將 16 列 （640 位元組） 溢位，越過已變更點陣圖進入後續 VncState 欄位。惡意 VNC 用戶端可能會利用此堆積緩衝區溢位，該用戶端協商特定的顯示解析度以損毀 QEMU 處理程序記憶體，從而導致拒絕服務或可能執行任意程式碼。在 QEMU v11.0.3 和 v10.0.12 中修正。
    (CVE-2026-61475)

    在 QEMU 的 USB 重新導向 （usbredir） 實作 （hw/usb/redirect.c） 中，惡意 usbredir 對等體可以傳送 ep_info 訊息，在大量接收開始後將 max_packet_size 重設為 0。這會導致多種可利用的條件：（1） usbredir_buffered_bulk_packet（） 中的無限循環，其中分割循環遞增 max_packet_size （0） 並且從未進展，（2） usbredir_buffered_bulk_in_complete_ftdi（） 中的 SIGFPE（浮點異常）來自模除以零運算，以及 （3） usbredir_handle_buffered_bulk_in_data（） 中的 SIGFPE，在計算bytes_per_transfer時從除以零。惡意的 USB 重新導向對等體可以利用此漏洞使 QEMU 處理程序當機 （拒絕服務） 或導致其無限期停擺。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-63319）

    在 QEMU 的 9pfs （virtio-9p） 實作中，TXATTRCREATE 和 TXATTRWALK 要求處理常式不會限制同時開啟的 xattr FID 數目。每個 xattr FID 都會為擴充屬性值配置主機記憶體緩衝區。具有直接 9p 伺服器存取權的惡意特權訪客使用者可以透過重複建立 xattr FID 而不關閉它們來利用這一點，從而導致無限的主機記憶體消耗和最終的主機記憶體耗盡 （拒絕服務）。此弱點自 QEMU v0.14.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修復。（CVE-2026-8348）

    在虛擬化管理程式主機環境 （例如 QEMU） 上 freedesktop.org v4.9.2 之前的 libslirp 版本中，TCP 緊急資料處理 （sosendoob） 中的越界堆積讀取和整數反向溢位，允許特權客體虛擬機器攻擊者 （root 或 CAP_NET_RAW） 透過傳送具有操縱的 URG 旗標和緊急指標 （ti_urp） 的特製 TCP 區段來洩漏 GB 的敏感主機處理堆記憶體。（CVE-2026-9539）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2026-500220 公告中提及的多個弱點影響。

    - tests/9p：新增 3 個 xattr FID 限制測試案例 （本機 fs 驅動程式） （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - tests/9p：新增 3 個 xattr FID 限制測試案例 （synth fs 驅動程式） （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - tests/9p：新增 virtio_9p_add_synth_driver_args（） 測試用戶端函式 （Christian Schoenebeck） [Orabug：
    39636027] {CVE-2026-8348}
    - tests/9p：增加測試用戶端的P9_MAX_SIZE （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - hw/9pfs：將 xattr 計數查詢介面新增到 fs 合成器驅動程式 （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - hw/9pfs：啟用 xattr （mockup） 對 synth fs 驅動程式的支援 （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - tests/9p：新增 Txattrcreate / Rxattrcreate 測試用戶端函式 （Christian Schoenebeck） [Orabug：
    39636027] {CVE-2026-8348}
    - tests/9p：新增 Tclunk / Rclunk 測試用戶端函式 （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - tests/9p：新增 Tread / Rread 測試用戶端函式 （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - qemu-options：文件 9pfs max_xattr選項 （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - hw/9pfs：新增max_xattr選項 （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - hw/9pfs：新增 xattr FID 限制以防止記憶體耗盡 （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - hw/9pfs：cap Treaddir 分配 （CVE-2026-9238） （Christian Schoenebeck） [Orabug： 39601986] {CVE-2026-9238}
    - 9pfs/xen：實作response_buffer_size回呼 （Christian Schoenebeck） [Orabug： 39601986] {CVE-2026-9238}
    - 9pfs/virtio：實作response_buffer_size回呼 （Christian Schoenebeck） [Orabug： 39601986] {CVE-2026-9238}
    - hw/9pfs：新增response_buffer_size傳輸回呼 （Christian Schoenebeck） [Orabug： 39601986] {CVE-2026-9238}
    - hw/9pfs：將 msize 協商到傳輸限制上限 （Christian Schoenebeck） [Orabug： 39601986] {CVE-2026-9238}
    - 9pfs/xen：實作msize_limit回呼 （Christian Schoenebeck） [Orabug： 39601986] {CVE-2026-9238}
    - 9pfs/virtio：實作msize_limit回呼 （Christian Schoenebeck） [Orabug： 39601986] {CVE-2026-9238}
    - hw/9pfs：新增msize_limit傳輸回呼 （Christian Schoenebeck） [Orabug： 39601986] {CVE-2026-9238}
    - 9pfs：修正 v9fs_co_readdir_many （CVE-2026-48004） 中缺少的重新命名鎖定 （sin99xx） [Orabug： 39478419] {CVE-2026-48004}
    - tests/qtest/libqos：新增 qvirtqueue_reset_pool（） 以重設描述元集區 （Christian Schoenebeck） [Orabug： 39636027] {CVE-2026-8348}
    - libvduse：修正 vduse_queue_read_indirect_desc（） 中的緩衝區溢位 （Stefano Garzarella） [Orabug：
    39447322] {CVE-2026-6425}
    - libvhost-user：修正 virtqueue_read_indirect_desc（） 中的緩衝區溢位 （Stefano Garzarella） [Orabug：
    39447322] {CVE-2026-6425}
    - virtio-blk：新增缺少的 VIRTIO_BLK_T_SCSI_CMD 大小檢查 （CVE-2026-48914） （Stefan Hajnoczi） [Orabug：
    39522394] {CVE-2026-48914}
    - ui：修正擴充剪貼簿資料長度VNC驗證 （Heechan Kang） [Orabug： 39442988] {CVE-2026-8343}
    - ui/vnc：修正 OOB 讀取更新VNC更新頻率統計資料 （Daniel P. Berrange） [Orabug： 39447326] {CVE-2026-48003}
    - ui/vnc：修正有損 rect 工作程式代碼中的 OOB 寫入 （Daniel P. Berrange） [Orabug： 39447332] {CVE-2026-48002}
    - ui/vnc：修正VNC統計資料陣列中的 OOB 寫入 （Daniel P. Berrange） [Orabug： 39447332] {CVE-2026-48002}
    - lsi53c895a：在執行指令碼時保留對裝置的參照 （Paolo Bonzini） [Orabug： 37517793] {CVE-2024-6519}
    - hw/scsi/lsi53c895a：修正 lsi_scsi_realize（） 中的記憶體洩漏 （Zheng Huang） [Orabug： 37517793] {CVE-2024-6519}
    - hw/scsi/lsi53c895a：在指令碼處理中增加指令限制以修正迴歸 （Fiona Ebner） [Orabug： 37517793] {CVE-2024-6519}
    - hw/scsi/lsi53c895a：為指令碼處理新增計時器 （Sven Schnelle） [Orabug： 37517793] {CVE-2024-6519}
    - virtio-scsi：將相同的cdb_size傳遞給 virtio_scsi_pop_req 和 virtio_scsi_handle_cmd_req_prepare （Paolo Bonzini） [Orabug： 39414097] {CVE-2026-5763}
    - softmmu：支援並行退信緩衝區 （Mattias Nissler） [Orabug： 37509310] {CVE-2024-8612}
    - system/physmem： Per-AddressSpace 反彈緩衝 （Mattias Nissler） [Orabug： 37509310] {CVE-2024-8612}
    - system/physmem：將 AddressSpace 傳播至 MapClient 協助程式 （Mattias Nissler） [Orabug： 37509310] {CVE-2024-8612}

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
330026	Linux Distros 未修補弱點：CVE-2026-8348	Nessus	Misc.	2026/7/26	2026/9/12	medium
337242	Amazon Linux 2：qemu， --advisory ALAS2-2026-3866 （ALAS-2026-3866）	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/18	medium
339119	Oracle Linux 9：qemu-kvm (ELSA-2026-500220)	Nessus	Oracle Linux Local Security Checks	2026/8/24	2026/10/14	high

偵測

搜尋 Plugin

medium

medium

high