Linux Distros のパッチ未適用の脆弱性: CVE-2026-80975

medium Nessus プラグイン ID 345212

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- MFD:qnap-mcu:コマンドタイムアウトを過ぎても返信バッファをアライブ状態に保ちます qnap_mcu_exec() は、受信パスに対してスタック上のバッファを公開します: unsigned char rx[QNAP_MCU_RX_BUFFER_SIZE];...reply->data = rx;reply->length = 長さ;qnap_mcu_receive_buf() は serdev 受信パスから書き込みますが、これは flush_to_ldisc() を使い果たし、qnap_mcu_exec() に対してまったくシリアル化されません。qnap_mcu_exec()はwait_for_completion_timeout()間でそのmutexを保持するため、bus_lockはそれをカバーできません。タイムアウト時に、qnap_mcu_exec() が返信>データを返しますが、依然としてそれ自体のフレームをポイントしています。遅れて到着した応答、または MCU からの一方的なメッセージは、残されたスタックフレームに書き込まれ、そのスタック上で次に実行されるものをすべて破損します。qnap_mcu_write()が失敗した場合も同様で、そのパスは返信状態に触れずに返されるためです。受信バッファを構造体qnap_mcuに移動します。これは 37 バイトで、構造体が devm_kzalloc()ed であるため、ドライバーと同じくらい存続し、遅延書き込みがまだ有効で次のコマンドによって再初期化されるメモリに着地します。bus_lock、コマンドが共有されないようにします。これにより、タイムアウトパス上の reply->data または reply->length が意図的に消去されません。これを行うと、if(!reply->length)の戻り値サイズの後に両方を読み取るqnap_mcu_receive_buf()と競合します。確認:reply->data をクリアすると NULL 逆参照が行われ、reply->length のみをクリアすると reply->received == reply->length 終了状態が削除されるため、uart チャンクが消費されバッファオーバーランになるまで、コピーループが実行されます。両方のセットのままにしておくと、書き込みがreply->lengthに制限されたままになります。これは、qnap_mcu_exec()がsizeof(mcu->rx)に対してすでにチェックしています。
(CVE-2026-80975)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://security-tracker.debian.org/tracker/CVE-2026-80975

プラグインの詳細

深刻度: Medium

ID: 345212

ファイル名: unpatched_CVE_2026_80975.nasl

バージョン: 1.1

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2026/9/12

更新日: 2026/9/12

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus