Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MFD:qnap-mcu:コマンドタイムアウトを過ぎても返信バッファをアライブ状態に保ちます qnap_mcu_exec() は、受信パスに対してスタック上のバッファを公開します: unsigned char rx[QNAP_MCU_RX_BUFFER_SIZE];...reply->data = rx;reply->length = 長さ;qnap_mcu_receive_buf() は serdev 受信パスから書き込みますが、これは flush_to_ldisc() を使い果たし、qnap_mcu_exec() に対してまったくシリアル化されません。qnap_mcu_exec()はwait_for_completion_timeout()間でそのmutexを保持するため、bus_lockはそれをカバーできません。タイムアウト時に、qnap_mcu_exec() が返信>データを返しますが、依然としてそれ自体のフレームをポイントしています。遅れて到着した応答、または MCU からの一方的なメッセージは、残されたスタックフレームに書き込まれ、そのスタック上で次に実行されるものをすべて破損します。qnap_mcu_write()が失敗した場合も同様で、そのパスは返信状態に触れずに返されるためです。受信バッファを構造体qnap_mcuに移動します。これは 37 バイトで、構造体が devm_kzalloc()ed であるため、ドライバーと同じくらい存続し、遅延書き込みがまだ有効で次のコマンドによって再初期化されるメモリに着地します。bus_lock、コマンドが共有されないようにします。これにより、タイムアウトパス上の reply->data または reply->length が意図的に消去されません。これを行うと、if(!reply->length)の戻り値サイズの後に両方を読み取るqnap_mcu_receive_buf()と競合します。確認:reply->data をクリアすると NULL 逆参照が行われ、reply->length のみをクリアすると reply->received == reply->length 終了状態が削除されるため、uart チャンクが消費されバッファオーバーランになるまで、コピーループが実行されます。両方のセットのままにしておくと、書き込みがreply->lengthに制限されたままになります。これは、qnap_mcu_exec()がsizeof(mcu->rx)に対してすでにチェックしています。
    (CVE-2026-80975)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-80975

medium Nessus プラグイン ID 345212

バージョン 1.1