Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - mac802154：修正資料爭用，且 local->assoc_dev local->assoc_dev 上的空取消參照會在關聯路徑和關聯回應工作程式之間共用，而沒有通用同步。
    mac802154_perform_association（） 儲存協調器指標並等待回應。其逾時和錯誤路徑會清除指標並返回 mac802154_associate（），然後可能會釋放協調器物件。同時，mac802154_rx_mac_cmd_worker（） 可能會觀察關聯位並輸入 mac802154_process_association_resp（），這會取消參照assoc_dev。背景工作程式的位元測試和處理常式的指標解除參照在清除方面不是不可部分完成的。清除可以清除它們之間的assoc_dev，導致 NULL 取消參照，或在回應處理常式仍使用指標時釋放協調器。記錄的結果會公開到相同的視窗。assoc_status 和 assoc_addr 由處理常式寫入，但在關聯位仍設定時由關聯路徑讀取，因此相同要求的第二個回應 （例如惡意回應） 可以在這些讀取之間取代它們，並讓呼叫者具有不連貫的狀態和位址對。回應處理常式只需要協調器延伸位址。將assoc_dev取代為快取的位址，移除指標存留期相依性。
    使用專用的微調鎖定保護快取的位址和關聯位。READ_ONCE（）/WRITE_ONCE（） 對無法保證所有 32 位元架構上的不可部分完成__le64存取。wpan_dev->association_lock 不能在這裡重複使用：nl802154_associate（） 跨 rdev_associate（） 保存它，因此適用於整個 mac802154_perform_association（），包括等待回應。取得該鎖定的回應處理常式只有在關聯已經放棄後才會取得該鎖定。重設完成、發佈快取位址，並在保持鎖定的同時設定關聯位。回應處理常式會取得鎖定，重新檢查位元和快取位址，記錄回應，清除位元，然後才完成等候程式。
    因此，清除無法在其狀態檢查和完成之間傳遞處理常式，而且快取的 64 位值無法撕裂。處理常式在完成之前清除位元，而不是喚醒的服務員：否則會在鎖定下發出 complete（），第二個（例如惡意）回應可以在服務員之前重新取得它並替換結果。因此，傳回成功的等待表示位元已經清除，而且成功和負回應路徑會直接傳回。傳輸錯誤和逾時路徑仍會在 assoc_lock 下清除它，這會在呼叫傳回已選取的錯誤時，序列化針對清除的任何爭用回應。兩條路徑都會在相同的鎖定下assoc_status和assoc_addr進行快照。這兩個使用者都會在進程內容中執行，因此純微調鎖定就足夠了。等候完成時不會保留鎖定。
    (CVE-2026-99134)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mac802154：修复 local->assoc_dev 上的数据争用和空取消引用 local->assoc_dev在关联路径和关联-响应工作线程之间共享，且没有通用同步。
    mac802154_perform_association（） 存储协调器指针并等待响应。其超时和错误路径清除指针并返回 mac802154_associate（），然后 （） 可释放协调器对象。同时，mac802154_rx_mac_cmd_worker（） 可能会观察关联位并进入 mac802154_process_association_resp（），这将取消引用assoc_dev。工作线程的位测试和处理程序的指针取消引用对于清除而言不是原子性的。清除可清除它们之间的assoc_dev，造成空取消引用，或在响应处理程序仍在使用指针时释放协调器。记录的结果会暴露在同一窗口中。assoc_status和assoc_addr由处理程序写入，但在关联位仍处于设置状态时由关联路径读取，因此同一请求的第二个响应（例如恶意请求）可在这些读取之间替换它们，并使调用程序处于不连贯的状态和地址对。响应处理程序仅需要协调器扩展地址。请将assoc_dev替换为缓存地址，从而删除指针生命周期依赖关系。
    使用专用自旋锁保护缓存地址和关联位。READ_ONCE（）/WRITE_ONCE（） 对无法保证在所有 32 位架构上都能进行原子__le64访问。此处不能重用 wpan_dev->association_lock：nl802154_associate（） 跨 rdev_associate（） 保留它，因此整个 mac802154_perform_association（） 包括等待响应。采用该锁定的响应处理程序只有在关联放弃后才能获得该锁定。重置完成，发布缓存地址，并在保持锁定的同时设置关联位。响应处理程序获取锁定，重新检查该位和缓存地址，记录响应，清除该位，然后才完成等待程序。
    因此，cleanup 无法在其状态检查和完成之间传递处理程序，并且缓存的 64 位值无法撕裂。处理程序在完成之前清除该位，而不是唤醒的等待程序：否则将在锁定下发出 complete（），第二个（例如恶意）响应可在等待程序之前重新获取它并替换结果。因此，返回成功的等待意味着该位已经清除，并且成功和负响应路径直接返回。transmit-error 和 timeout 路径仍会在 assoc_lock 下将其清除，这会在调用返回已选择的错误时针对清除序列化任何争用响应。两个路径都对assoc_status进行快照，并在同一个锁下assoc_addr。两个用户都在进程上下文中运行，因此普通旋转锁就足够了。等待完成时未保留锁定。
    (CVE-2026-99134)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - mac802154:local->assoc_dev でのデータの競合と NULL デリファレンスを修正します local->assoc_dev が、共通の同期化なしで関連付けパスと関連付け応答ワーカーの間で共有されます。
    mac802154_perform_association() はコーディネーターポインターを格納し、応答を待ちます。そのタイムアウトとエラーパスは、ポインターをクリアして mac802154_associate() に戻ります。これにより、コーディネーターオブジェクトが解放される場合があります。一方、mac802154_rx_mac_cmd_worker()は、連想ビットを観察して、assoc_devを逆参照するmac802154_process_association_resp()を入力する可能性があります。ワーカーのビットテストおよびハンドラーのポインターデリファレンスは、クリーンアップに関してアトミックではありません。クリーンアップは、それらの間のassoc_devを消去して、NULL デリファレンスを引き起こしたり、応答ハンドラーがポインターをまだ使用している間にコーディネーターを解放したりする可能性があります。記録された結果は、同じウィンドウに公開されます。assoc_status と assoc_addr はハンドラーによって書き込まれますが、関連付けビットがまだ設定されている間に関連付けパスによって読み取られるため、同じリクエストに対する 2 番目の応答(たとえば悪意のある応答)が、これらの読み取りの間でそれらを置き換え、呼び出し元に支离滅裂なステータスとアドレスのペアを残す可能性があります。応答ハンドラーに必要なのは、コーディネーター拡張アドレスのみです。assoc_devキャッシュ済みアドレスに置き換えて、ポインターの有効期間の依存関係を削除します。
    キャッシュされたアドレスと関連ビットを専用のスピンロックで保護します。READ_ONCE()/WRITE_ONCE() のペアは、すべての 32 ビットアーキテクチャでアトミック__le64アクセスを保証するものではありません。wpan_dev->association_lockはここでは再利用できません:nl802154_associate()はrdev_associate()全体でそれを保持するため、応答の待機を含めてmac802154_perform_association()全体で保持します。そのロックを取得している応答ハンドラーは、関連付けがすでに諦めた後にのみロックを取得します。ロックを保持しながら、完了をリセットし、キャッシュされたアドレスを公開し、関連ビットを設定します。応答ハンドラーはロックを取得し、ビットとキャッシュされたアドレスを再チェックし、応答を記録し、ビットをクリアしてから、待機を完了します。
    したがって、クリーンアップは状態チェックと完了の間にハンドラーを渡すことができず、キャッシュされた64ビット値はティアできません。ハンドラーは、呼び出された waiter ではなく、完了前にビットをクリアします:それ以外の場合は、ロック状態で complete() が発行され、2 番目の(悪意のあるなど)応答が waiter の前にそれを再取得し、結果を置き換えることができます。したがって、成功を返す待機は、ビットがすでにクリアであり、成功と負の応答パスが直接返されることを意味します。transmit-error パスとタイムアウトパスは、assoc_lock の下で依然としてそれをクリアし、呼び出しがすでに選択されているエラーを返している間に、クリーンアップに対する競合応答をシリアル化します。両方のパスは、スナップショットassoc_status、同じロックの下でassoc_addrします。両方のユーザーがプロセスコンテキストで実行するため、プレーンなスピンロックで十分です。ロックは完了を待機している間は保持されません。
    (CVE-2026-99134)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - mac802154: fix data race and NULL deref on local->assoc_dev local->assoc_dev is shared between the     association path and the association-response worker without common synchronization.
    mac802154_perform_association() stores the coordinator pointer and waits for a response. Its timeout and     error paths clear the pointer and return to mac802154_associate(), which may then free the coordinator     object. Meanwhile, mac802154_rx_mac_cmd_worker() may observe the associating bit and enter     mac802154_process_association_resp(), which dereferences assoc_dev. The worker's bit test and the     handler's pointer dereference are not atomic with respect to cleanup. Cleanup can clear assoc_dev between     them, causing a NULL dereference, or free the coordinator while the response handler still uses the     pointer. The recorded result is exposed to the same window. assoc_status and assoc_addr are written by the     handler but read by the association path while the associating bit is still set, so a second response for     the same request - a malicious one, for instance - can replace them between those reads and leave the     caller with an incoherent status and address pair. The response handler only needs the coordinator     extended address. Replace assoc_dev with a cached address, removing the pointer lifetime dependency.
    Protect the cached address and the associating bit with a dedicated spinlock. A READ_ONCE()/WRITE_ONCE()     pair would not guarantee an atomic __le64 access on all 32-bit architectures. wpan_dev->association_lock     cannot be reused here: nl802154_associate() holds it across rdev_associate(), hence for the whole of     mac802154_perform_association() including the wait for the response. A response handler taking that lock     would only get it once the association has already given up. Reset the completion, publish the cached     address, and set the associating bit while holding the lock. The response handler takes the lock, rechecks     the bit and the cached address, records the response, clears the bit, and only then completes the waiter.
    Thus cleanup cannot pass the handler between its state check and completion, and the cached 64-bit value     cannot tear. The handler clears the bit before completing, not the woken waiter: otherwise complete() is     issued under the lock and a second (e.g. malicious) response can reacquire it before the waiter and     replace the result. So a wait that returns success implies the bit is already clear, and the success and     negative-response paths return directly. The transmit-error and timeout paths still clear it under     assoc_lock, which serializes any racing response against the cleanup while the call returns the error it     already selected. Both paths snapshot assoc_status and assoc_addr under the same lock. Both users run in     process context, so a plain spinlock is sufficient. The lock is not held while waiting for the completion.
    (CVE-2026-99134)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
373362	Linux Distros 未修補弱點：CVE-2026-99134	Nessus	Misc.	2026/10/28	2026/11/2	medium
373362	Linux Distros 未修补的漏洞：CVE-2026-99134	Nessus	Misc.	2026/10/28	2026/11/2	medium
373362	Linux Distros のパッチ未適用の脆弱性: CVE-2026-99134	Nessus	Misc.	2026/10/28	2026/11/2	medium
373362	Linux Distros Unpatched Vulnerability : CVE-2026-99134	Nessus	Misc.	2026/10/28	2026/11/2	medium

偵測

搜尋 Plugin

medium

medium

medium

medium