Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：SCO：针对 sco_recv_scodata（） 序列化sco_conn生命周期 sco_recv_scodata（） 将弱 hcon->sco_data 反向指针升级到 hdev->lock 下的强引用：hci_dev_lock（hdev）;hcon = hci_conn_hash_lookup_handle（hdev， 句柄）;...conn = sco_conn_hold_unless_zero（hcon->sco_data）;
    hci_dev_unlock（hdev）;但是指针会从另一侧清除，没有该锁定。当最后一个 sco_conn 引用被丢弃时，sco_conn_free（） 运行 conn->hcon->sco_data = NULL;由于未保留 hdev->lock，因此 RX 路径可在同时释放的sco_conn上读取 hcon->sco_data 并调用 kref_get_unless_zero（）：缺陷：KASAN：sco_conn_hold_unless_zero+0xbe/0x160 中的 slab-use-after-free 按任务 kworker/u17：0 写入大小为 4 工作队列：hci0 hci_rx_work调用跟踪：sco_conn_hold_unless_zero+0xbe/0x160 sco_recv_scodata+0x13f/0x490 hci_rx_work+0x3af/0x730 kref_get_unless_zero（） 仅防止零引用计数，而不能防止已经释放的后备存储器。向 hcon->sco_data 提供其所指向sco_conn的实际引用，以便在仍安装指针时无法释放该对象，只能将其从 hdev->lock 下运行的 sco_conn_del（） 中清除并丢弃（其调用方 sco_connect_cfm（） 和 sco_disconn_cfm（） 保持它）。sco_recv_scodata（） 中的阅读器也采用 hdev->lock，因此存储和读取现在是序列化的：RX 路径要么观察到空值，要么观察到保证保持有效的引用，直到它失去自己的引用为止。sco_conn_add（） 不再将其 kref_init（） 引用作为连接的唯一引用交给调用程序;初始引用是 hcon->sco_data 拥有的引用，调用者通过 sco_conn_hold（） 获得自己的引用。因为sco_conn现在可以超过套接字的生存期（关联使其保持活动直到链路关闭），所以在不回归套接字关闭的情况下，无法再从 sco_conn_free（） 中丢弃hci_conn：关闭连接的 SCO 套接字仍必须破坏链路。将hci_conn所有权移至套接字：__sco_chan_add（） 采用 hci_conn 引用，并仅从 sco_chan_del（） 和 sco_sock_destruct（） 释放一次。sco_conn不再拥有hci_conn引用，因此 sco_conn_add（） 停止消耗一个，并且 sco_connect（） 在每个路径上删除 hci_connect_sco（） 引用;sco_connect_cfm（） 不再需要它的 hci_conn_hold（） 跳。（CVE-2026-99011）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Bluetooth： SCO：針對 sco_recv_scodata（） 序列化sco_conn存留期 sco_recv_scodata（） 將弱式 hcon->sco_data 反向指標升級為 hdev->lock 下的強參照：hci_dev_lock（hdev）;hcon = hci_conn_hash_lookup_handle（hdev， 句柄）;...conn = sco_conn_hold_unless_zero（hcon->sco_data）;
    hci_dev_unlock（hdev）;但是指標會從另一側清除，而沒有該鎖定。刪除最後一個sco_conn參照時，sco_conn_free（） 執行 conn->hcon->sco_data = NULL;沒有保留 hdev->lock，因此 RX 路徑可以讀取 hcon->sco_data 並在同時釋放的sco_conn上呼叫 kref_get_unless_zero（）： 錯誤： KASAN：sco_conn_hold_unless_zero+0xbe/0x160 中的 slab-use-after-free 任務 kworker/u17：0 寫入大小為 4 工作佇列：hci0 hci_rx_work 呼叫追蹤：sco_conn_hold_unless_zero+0xbe/0x160 sco_recv_scodata+0x13f/0x490 hci_rx_work+0x3af/0x730 kref_get_unless_zero（） 僅防止零參照計數，而不防止已經釋放的後備記憶體。在它所指向的sco_conn上給 hcon->sco_data 一個實際的引用，這樣當指標仍然安裝時，該物件就無法被釋放，而只能從 sco_conn_del（） 中清除並刪除它，它在 hdev->lock 下運行（它的調用者 sco_connect_cfm（） 和 sco_disconn_cfm（） 持有它）。sco_recv_scodata（） 中的讀取器也採用 hdev->lock，因此儲存區和讀取現在是序列化的：RX 路徑要麼觀察到 NULL，要麼是保證在刪除自己的引用之前保持有效的引用。sco_conn_add（） 不再將其 kref_init（） 參照交給呼叫端作為連線的唯一參照;該初始參照是 hcon->sco_data 擁有的參照，調用方通過 sco_conn_hold（） 獲得自己的參照。由於sco_conn現在可以比通訊端更耐用（關聯使其保持活動狀態，直到連結關閉），因此無法再從 sco_conn_free（） 中刪除hci_conn而不使通訊端關閉回歸：關閉連接的 SCO 通訊端仍然必須拆除連結。將hci_conn所有權移至通訊端：__sco_chan_add（） 採用hci_conn引用，並從 sco_chan_del（） 和 sco_sock_destruct（） 釋放一次。sco_conn不再擁有hci_conn參照，因此 sco_conn_add（） 停止使用一個參照，並且 sco_connect（） 在每條路徑上刪除 hci_connect_sco（） 參照;sco_connect_cfm（） 不再需要它的 hci_conn_hold（） 舞蹈。（CVE-2026-99011）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Bluetooth:SCO:sco_recv_scodata() に対して sco_conn の有効期間をシリアル化します sco_recv_scodata() は、弱い hcon->sco_data バックポインターを hdev->lock 下の強い参照にアップグレードします: hci_dev_lock(hdev);hcon = hci_conn_hash_lookup_handle(hdev、ハンドル);...conn = sco_conn_hold_unless_zero(hcon->sco_data);
    hci_dev_unlock(hdev);しかし、ポインターはそのロックなしで反対側からクリアされます。最後のsco_conn参照がドロップされると、sco_conn_free() は conn->hcon->sco_data = NULL; を実行しました。hdev->lock が保持されない場合、RX パスが hcon->sco_data を読み取り、同時に解放されたsco_connで kref_get_unless_zero() を呼び出す可能性があります:バグ:KASAN:sco_conn_hold_unless_zero+0xbe/0x160 の slab-use-after-free タスクによるサイズ 4 の書き込み kworker/u17:0 ワークキュー:hci0 hci_rx_work コールトレース:sco_conn_hold_unless_zero+0xbe/0x160 sco_recv_scodata+0x13f/0x490 hci_rx_work+0x3af/0x730 kref_get_unless_zero() は、すでに解放されているバッキングメモリではなく、ゼロの refcount に対してのみ保護します。hcon->sco_data が指し示すsco_connの実際の参照を与えて、ポインターがまだインストールされている間はオブジェクトを解放できず、hdev->lock の下で実行する sco_conn_del() からのみ消去およびドロップします(呼び出し元、sco_connect_cfm() および sco_disconn_cfm())。sco_recv_scodata() のリーダーも hdev->lock を取得するため、ストアと読み取りがシリアル化されるようになりました。RX パスは、NULL を観察するか、独自のパスをドロップするまで有効であり続けることが保証されている参照のいずれかを観察します。sco_conn_add() は、接続の唯一の参照として呼び出し側に kref_init() 参照を渡さなくなります。その最初の参照は hcon->sco_data が所有するもので、呼び出し元は sco_conn_hold() を介して独自の参照を取得します。sco_connはソケットよりも長存できるようになったため(関連付けはリンクがダウンするまでそれを維持します)、ソケットクローズを回帰せずに sco_conn_free() からhci_connをドロップできなくなりました。接続済みの SCO ソケットを閉じても、リンクがティアダウンする必要があります。代わりにhci_conn所有権をソケットに移動します:__sco_chan_add() はhci_conn参照を受け取り、sco_chan_del() と sco_sock_destruct() から正確に一度だけ解放されます。sco_connはhci_conn参照を所有しなくなったため、sco_conn_add() は  参照の消費を停止し、sco_connect() はすべてのパスで hci_connect_sco() 参照をドロップします。sco_connect_cfm() には、hci_conn_hold() のダンスはもう必要ありません。(CVE-2026-99011)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Bluetooth: SCO: serialise sco_conn lifetime against sco_recv_scodata() sco_recv_scodata() upgrades the     weak hcon->sco_data back-pointer to a strong reference under hdev->lock: hci_dev_lock(hdev); hcon =     hci_conn_hash_lookup_handle(hdev, handle); ... conn = sco_conn_hold_unless_zero(hcon->sco_data);
    hci_dev_unlock(hdev); but the pointer is cleared from the other side without that lock. When the last     sco_conn reference is dropped, sco_conn_free() ran conn->hcon->sco_data = NULL; with no hdev->lock held,     so the RX path could read hcon->sco_data and call kref_get_unless_zero() on an sco_conn that was     concurrently freed: BUG: KASAN: slab-use-after-free in sco_conn_hold_unless_zero+0xbe/0x160 Write of size     4 by task kworker/u17:0 Workqueue: hci0 hci_rx_work Call Trace: sco_conn_hold_unless_zero+0xbe/0x160     sco_recv_scodata+0x13f/0x490 hci_rx_work+0x3af/0x730 kref_get_unless_zero() only guards against a zero     refcount, not against the backing memory already being freed. Give hcon->sco_data an actual reference on     the sco_conn it points to, so the object cannot be freed while the pointer is still installed, and only     clear and drop it from sco_conn_del(), which runs under hdev->lock (its callers, sco_connect_cfm() and     sco_disconn_cfm(), hold it). The reader in sco_recv_scodata() also takes hdev->lock, so the store and the     read are now serialised: the RX path either observes NULL or a reference that is guaranteed to stay valid     until it drops its own. sco_conn_add() no longer hands its kref_init() reference to the caller as the     connection's only reference; that initial reference is the one owned by hcon->sco_data, and callers get     their own via sco_conn_hold(). Because the sco_conn can now outlive the socket (the association keeps it     alive until the link goes down), the hci_conn can no longer be dropped from sco_conn_free() without     regressing socket close: closing a connected SCO socket must still tear the link down. Move hci_conn     ownership to the socket instead: __sco_chan_add() takes an hci_conn reference and it is released from     sco_chan_del() and sco_sock_destruct(), exactly once. The sco_conn no longer owns an hci_conn reference,     so sco_conn_add() stops consuming one and sco_connect() drops the hci_connect_sco() reference on every     path; sco_connect_cfm() no longer needs its hci_conn_hold() dance. (CVE-2026-99011)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
372278	Linux Distros 未修补的漏洞：CVE-2026-99011	Nessus	Misc.	2026/10/27	2026/10/29	high
372278	Linux Distros 未修補弱點：CVE-2026-99011	Nessus	Misc.	2026/10/27	2026/10/29	high
372278	Linux Distros のパッチ未適用の脆弱性: CVE-2026-99011	Nessus	Misc.	2026/10/27	2026/10/29	high
372278	Linux Distros Unpatched Vulnerability : CVE-2026-99011	Nessus	Misc.	2026/10/27	2026/10/29	high

偵測

搜尋 Plugin

high

high

high

high