Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - QEMU の VNC サーバーの実装(ui/vnc.c)で、set_pixel_format() 関数がクライアントの SetPixelFormat メッセージからの red_max、green_max、blue_max フィールドを適切に検証していません。これらのフィールドは 16 ビット値として受信されますが、内部では uint8_t として保存されます。悪意のある VNC クライアントは、255 を超える最大値(例:0x0100)を送信することができます。これは既存のゼロ以外の検証チェックを通過しますが、割り当て時に警告なしに 0 に切り捨て、Tight PNG パレットのエンコーディングパスでゼロ除算につながります。これにより、リモートの攻撃者が QEMU プロセスをクラッシュさせ、その QEMU インスタンスが提供するすべてのゲストのサービス拒否を引き起こす可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-15578)QEMUのUSBリダイレクト(usbredir)実装では、hw/usb/redirect.cのusbredir_buffered_bulk_packet()関数にメモリ解放後使用(Use After Free)の脆弱性があります。max-packet-size チャンクに分割されたマルチフラグメントバッファバルクパケットを処理する際に、最後のフラグメントだけが共有パーサーメモリ割り当てを所有します(free_on_destroy を介して)。bufp_alloc() がキューオーバーフローにより最終的なフラグメントを破棄した場合、すでにキューイングされている以前のフラグメントが内部ポインターを依然として保持している間に、バッキングバッファが解放されます。その後、後続のゲストバルクイントランスファルスは、解放されたヒープメモリから読み取ります。悪意のある、または危険にさらされている USB デバイス(または細工された usbredir ストリーム)がこの状態を発生させ、ヒープメモリからの情報漏洩または QEMU プロセスのクラッシュ(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v1.4.0-rc0以降存在し、v11.0.3とv10.0.12で修正されました。(CVE-2026-15705)ワーカースレッドで非可逆矩形を追跡するときの境界条件の不適切な計算により、さらなるワーカー状態を破損させたり、VncWorker構造体の向こうにある可能性のあるガードページをトリガーしたりする可能性があるOOB書き込みが発生します。これは、権限のないユーザーがゲストOSで画面解像度を慎重に選択したことによりトリガーされる可能性があります。(CVE-2026-48002) vnc_update_freq のループバインドが正しくないと、VNC stats 配列の最後の行と最後の列を超えて反復処理が行われます。
    適切に選択されたディメンションでは、これは、stats 配列が埋め込まれている VncDisplay 構造を超えてメモリにアクセスする OOB 読み取りになる可能性があります。これがガードページにヒットすると、ゲストクラッシュが発生する可能性があります。そうでない場合、VNC 周波数統計はガベージで更新されます。(CVE-2026-48003)QEMUのVNCサーバー実装(ui/vnc.c)では、非可逆タイルリフレッシュ中にダーティビットマップ行をマークするとき、vnc_refresh_lossy_rect()関数に領域外書き込みの脆弱性があります。この関数は、各タイルのダーティビットマップのフル VNC_STAT_RECT (64) 行を無条件にマークします。表示の高さが 64 ピクセルの倍数でない場合、最後のタイル行は部分的なタイルであり、ループは vs->dirty[VNC_MAX_HEIGHT] 配列の終端を超えて書き込みます。たとえば、高さ 2160 ピクセルのディスプレイの場合、最後の stat タイルは y=2112 から始まり、64 行のループは 2112-2175行を書き込み、ダーティ ビットマップを超えて 16 行 (640 バイト) をオーバーフローして後続の VncState フィールドに書き込みます。このヒープバッファオーバーフローは、特定の表示解像度をネゴシエートして QEMU プロセスメモリを破損する悪意のある VNC クライアントによって悪用される可能性があり、サービス拒否や任意のコードの実行につながる可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-61475)QEMUのUSBリダイレクト(usbredir)実装(hw/usb/redirect.c)では、悪意のあるusbredirピアが一括受信がすでに開始された後にmax_packet_sizeを0にリセットするep_infoメッセージを送信する可能性があります。これにより、複数の悪用可能な状態が発生します:(1)分割ループが(0)max_packet_sizeずつ増加して決して進行しないusbredir_buffered_bulk_packet()の無限ループ、(2)ゼロ除算によるusbredir_buffered_bulk_in_complete_ftdi()のSIGFPE(浮動小数点例外)、(3)bytes_per_transfer計算時のゼロ除算からのusbredir_handle_buffered_bulk_in_data()のSIGFPE。悪意のある USB リダイレクトピアがこれを悪用して、QEMU プロセスをクラッシュさせたり(サービス拒否)、無期限にハングさせたりする可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-63319) QEMU の 9pfs(virtio-9p)実装では、TXATTRCREATE および TXATTRWALK リクエストハンドラーが、同時に開かれる xattr FID の数を制限しません。各 xattr FID は、拡張された属性値に対してホストメモリバッファを割り当てます。直接 9p サーバーにアクセスできる悪意のある特権ゲストユーザーがこれを悪用し、xattr FID を閉じずに繰り返し作成することで、際限のないホストメモリ消費と、最終的にホストメモリの枯渇(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v0.14.0-rc0以降存在していました。v11.0.3およびv10.0.12で修正されました。(CVE-2026-8348)ハイパーバイザーホスト環境(QEMUなど)上のv4.9.2より前のlibslirpバージョンのTCP緊急データ処理(sosendoob)での領域外ヒープ読み取り freedesktop.org 整数アンダーフローにより、権限のあるゲストVM攻撃者(rootまたはCAP_NET_RAW)が、操作されたURGフラグと緊急ポインターを使用して細工されたTCPセグメントを送信することにより、数ギガバイトの機密ホストプロセスヒープメモリを漏えいする可能性があります(ti_urp)。(CVE-2026-9539)(CVE-2026-8348)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている qemu のバージョンは、3.1.0-8より前のものです。したがって、ALAS2-2026-3866 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    QEMUのVNCサーバー実装(ui/vnc.c)では、set_pixel_format()関数がクライアントのSetPixelFormatメッセージからのred_max、green_max、blue_maxフィールドを適切に検証しません。これらのフィールドは 16 ビット値として受信されますが、内部では uint8_t として保存されます。悪意のある VNC クライアントは、255 を超える最大値(例:0x0100)を送信することができます。これは既存のゼロ以外の検証チェックを通過しますが、割り当て時に警告なしに 0 に切り捨て、Tight PNG パレットのエンコーディングパスでゼロ除算につながります。これにより、リモートの攻撃者が QEMU プロセスをクラッシュさせ、その QEMU インスタンスが提供するすべてのゲストのサービス拒否を引き起こす可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-15578)

    QEMUのUSBリダイレクト(usbredir)実装では、hw/usb/redirect.cのusbredir_buffered_bulk_packet()関数にメモリ解放後使用(Use After Free)の脆弱性があります。max-packet-size チャンクに分割されたマルチフラグメントバッファバルクパケットを処理する際に、最後のフラグメントだけが共有パーサーメモリ割り当てを所有します(free_on_destroy を介して)。bufp_alloc() がキューオーバーフローにより最終的なフラグメントを破棄した場合、すでにキューイングされている以前のフラグメントが内部ポインターを依然として保持している間に、バッキングバッファが解放されます。
    その後、後続のゲストバルクイントランスファルスは、解放されたヒープメモリから読み取ります。悪意のある、または危険にさらされている USB デバイス(または細工された usbredir ストリーム)がこの状態を発生させ、ヒープメモリからの情報漏洩または QEMU プロセスのクラッシュ(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v1.4.0-rc0以降存在し、v11.0.3とv10.0.12で修正されました。(CVE-2026-15705)

    ワーカースレッドで非可逆矩形を追跡するときの境界条件の不適切な計算により、さらなるワーカー状態を破損させたり、VncWorker構造体の向こうにある可能性のあるガードページをトリガーしたりする可能性があるOOB書き込みが発生します。これは、権限のないユーザーがゲストOSで画面解像度を慎重に選択したことによりトリガーされる可能性があります。(CVE-2026-48002)

    vnc_update_freq のループ境界が正しくないと、VNC stats 配列の最後の行と最後の列を超えて反復処理が行われます。適切に選択されたディメンションでは、これは、stats 配列が埋め込まれている VncDisplay 構造を超えてメモリにアクセスする OOB 読み取りになる可能性があります。

    これがガードページにヒットすると、ゲストクラッシュが発生する可能性があります。そうでない場合、VNC 周波数統計はガベージで更新されます。(CVE-2026-48003)

    QEMUのVNCサーバー実装(ui/vnc.c)では、非可逆タイルリフレッシュ中にダーティなビットマップ行をマークするとき、vnc_refresh_lossy_rect()関数に領域外書き込みの脆弱性があります。この関数は、各タイルのダーティビットマップのフル VNC_STAT_RECT (64) 行を無条件にマークします。表示の高さが 64 ピクセルの倍数でない場合、最後のタイル行は部分的なタイルであり、ループは vs->dirty[VNC_MAX_HEIGHT] 配列の終端を超えて書き込みます。たとえば、高さ 2160 ピクセルのディスプレイの場合、最後の stat タイルは y=2112 から始まり、64 行のループは 2112-2175行を書き込み、ダーティ ビットマップを超えて 16 行 (640 バイト) をオーバーフローして後続の VncState フィールドに書き込みます。このヒープバッファオーバーフローは、特定の表示解像度をネゴシエートして QEMU プロセスメモリを破損する悪意のある VNC クライアントによって悪用される可能性があり、サービス拒否や任意のコードの実行につながる可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。
    (CVE-2026-61475)

    QEMUのUSBリダイレクト(usbredir)実装(hw/usb/redirect.c)では、悪意のあるusbredirピアが、一括受信がすでに開始された後にmax_packet_sizeを0にリセットするep_infoメッセージを送信する可能性があります。これにより、複数の悪用可能な状態が発生します:(1)分割ループが(0)max_packet_sizeずつ増加して決して進行しないusbredir_buffered_bulk_packet()の無限ループ、(2)ゼロ除算によるusbredir_buffered_bulk_in_complete_ftdi()のSIGFPE(浮動小数点例外)、(3)bytes_per_transfer計算時のゼロ除算からのusbredir_handle_buffered_bulk_in_data()のSIGFPE。悪意のある USB リダイレクトピアがこれを悪用して、QEMU プロセスをクラッシュさせたり(サービス拒否)、無期限にハングさせたりする可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-63319)

    QEMU の 9pfs(virtio-9p)実装では、TXATTRCREATE および TXATTRWALK リクエストハンドラーが、同時に開かれる xattr FID の数を制限しません。各 xattr FID は、拡張された属性値に対してホストメモリバッファを割り当てます。直接 9p サーバーにアクセスできる悪意のある特権ゲストユーザーがこれを悪用し、xattr FID を閉じずに繰り返し作成することで、際限のないホストメモリ消費と、最終的にホストメモリの枯渇(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v0.14.0-rc0以降存在していました。v11.0.3およびv10.0.12で修正されました。(CVE-2026-8348)

    ハイパーバイザーホスト環境(QEMUなど)上のv4.9.2より前のlibslirpバージョン freedesktop.org TCP緊急データ処理(sosendoob)の領域外ヒープ読み取りと整数アンダーフローにより、権限のあるゲストVM攻撃者(rootまたはCAP_NET_RAW)が、操作されたURGフラグと緊急ポインターを使用して細工されたTCPセグメントを送信することにより、数ギガバイトの機密ホストプロセスヒープメモリを漏えいする可能性があります(ti_urp)。(CVE-2026-9539)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2026-500220アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - tests/9p:3 つの xattr FID 制限テストケースを追加(ローカル fs ドライバー)(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - tests/9p:3 つの xattr FID 制限テストケースを追加(synth fs ドライバー)(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - tests/9p:virtio_9p_add_synth_driver_args() テストクライアント関数を追加します(Christian Schoenebeck 氏)[Orabug:
    39636027] {CVE-2026-8348}
    - tests/9p:テストクライアント用のP9_MAX_SIZEを増加(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - hw/9pfs:xattr カウントクエリインターフェイスを fs シンセドライバーに追加します(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - hw/9pfs:synth fs ドライバーの xattr(モックアップ)サポートを有効化(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - tests/9p:Txattrcreate/Rxattrcreate テストクライアント関数を追加します(Christian Schoenebeck 氏)[Orabug:
    39636027] {CVE-2026-8348}
    - tests/9p:Tclunk / Rclunk テストクライアント関数を追加(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - tests/9p:Tread / Rread テストクライアント関数を追加します(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - qemu-options:オプションmax_xattr 9pfs を文書化します(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - hw/9pfs:max_xattrオプションを追加(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - hw/9pfs:メモリの枯渇を防ぐために xattr FID 制限を追加(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - hw/9pfs:Treaddir の割り当てを制限します (CVE-2026-9238) (Christian Schoenebeck 氏)[Orabug: 39601986] {CVE-2026-9238}
    - 9pfs/xen:response_buffer_sizeコールバックを実装します(Christian Schoenebeck 氏)[Orabug: 39601986] {CVE-2026-9238}
    - 9pfs/virtio:response_buffer_sizeコールバックを実装します(Christian Schoenebeck 氏)[Orabug: 39601986] {CVE-2026-9238}
    - hw/9pfs:response_buffer_size トランスポートコールバックを追加します(Christian Schoenebeck 氏)[Orabug: 39601986] {CVE-2026-9238}
    - hw/9pfs:転送制限までネゴシエートされた msize に上限を設けます(Christian Schoenebeck 氏)[Orabug: 39601986] {CVE-2026-9238}
    - 9pfs/xen:msize_limitコールバックを実装します(Christian Schoenebeck 氏)[Orabug: 39601986] {CVE-2026-9238}
    - 9pfs/virtio:msize_limitコールバックを実装します(Christian Schoenebeck 氏)[Orabug: 39601986] {CVE-2026-9238}
    - hw/9pfs:msize_limit トランスポートコールバックを追加します(Christian Schoenebeck 氏)[Orabug: 39601986] {CVE-2026-9238}
    - 9pfs:v9fs_co_readdir_many で欠落している名前変更ロックを修正します(CVE-2026-48004)(sin99xx)[Orabug: 39478419] {CVE-2026-48004}
    - tests/qtest/libqos:記述子プールリセット用の qvirtqueue_reset_pool() を追加します(Christian Schoenebeck 氏)[Orabug: 39636027] {CVE-2026-8348}
    - libvduse:vduse_queue_read_indirect_desc() のバッファオーバーフローを修正(Stefano Garzarella 氏)[Orabug:
    39447322] {CVE-2026-6425}
    - libvhost-user:virtqueue_read_indirect_desc() のバッファオーバーフローを修正(Stefano Garzarella 氏)[Orabug:
    39447322] {CVE-2026-6425}
    - virtio-blk:欠落しているVIRTIO_BLK_T_SCSI_CMDサイズチェックを追加(CVE-2026-48914)(Stefan Hajnoczi)[Orabug:
    39522394] {CVE-2026-48914}
    - ui:VNC拡張されたクリップボードのデータ長の検証を修正(Heechan Kang 氏)[Orabug: 39442988] {CVE-2026-8343}
    - ui/vnc:領域外読み取り更新VNC更新頻度統計を修正します(Daniel P. Berrange 氏)[Orabug: 39447326] {CVE-2026-48003}
    - ui/vnc:非可逆 rect ワーカーコードでの OOB 書き込みを修正します(Daniel P. Berrange 氏)[Orabug: 39447332] {CVE-2026-48002}
    - ui/vnc:VNC stats 配列での OOB 書き込みを修正します(Daniel P. Berrange 氏)[Orabug: 39447332] {CVE-2026-48002}
    - lsi53c895a:スクリプトの実行中にデバイスへの参照を維持します(Paolo Bonzini 氏)[Orabug: 37517793] {CVE-2024-6519}
    - hw/scsi/lsi53c895a:lsi_scsi_realize() のメモリリークを修正します(Zheng Huang 氏)[Orabug: 37517793] {CVE-2024-6519}
    - hw/scsi/lsi53c895a:スクリプト処理の命令制限を更新して、回帰を修正します(Fiona Ebner 氏)[Orabug: 37517793] {CVE-2024-6519}
    - hw/scsi/lsi53c895a:スクリプト処理にタイマーを追加します(Sven Schnelle 氏)[Orabug: 37517793] {CVE-2024-6519}
    - virtio-scsi:virtio_scsi_pop_req と virtio_scsi_handle_cmd_req_prepare に同じcdb_sizeを渡します(Paolo Bonzini 氏)[Orabug: 39414097] {CVE-2026-5763}
    - softmmu:同時バウンスバッファをサポート(Mattias Nissler 氏)[Orabug: 37509310] {CVE-2024-8612}
    - system/physmem:アドレス空間ごとのバウンスバッファリング(Mattias Nissler 氏)[Orabug: 37509310] {CVE-2024-8612}
    - system/physmem:アドレス空間の MapClient ヘルパーへの伝播(Mattias Nissler 氏)[Orabug: 37509310] {CVE-2024-8612}

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
330026	Linux Distros のパッチ未適用の脆弱性: CVE-2026-8348	Nessus	Misc.	2026/7/26	2026/9/12	medium
337242	Amazon Linux 2:qemu、 --advisory ALAS2-2026-3866 (ALAS-2026-3866)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/18	medium
339119	Oracle Linux 9 : qemu-kvm (ELSA-2026-500220)	Nessus	Oracle Linux Local Security Checks	2026/8/24	2026/10/14	high

検出

プラグインの検索

medium

medium

high