Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - amt：直接從接收路徑傳送轉送的一般查詢 在 qdisc 中排入佇列的 skb 可以透過 skb->cb 中的原始指標比它參照的通道更長。例如，當轉送上的 igmp_qrv 設定為 1 時，通道的存續期為 135 秒，因此 amt 裝置上 180 秒的 netem 延遲會超過它;當通道到期並釋放時，後續的出列會在 amt_dev_xmit（） 中觸發釋放後使用。錯誤：KASAN：
    amt_dev_xmit+0x2763/0x2e20 中的 slab-use-after-free 呼叫追蹤：amt_dev_xmit+0x2763/0x2e20 [drivers/net/amt.c：1262] dev_hard_start_xmit+0x22f/0x620 sch_direct_xmit+0x12e/0xac0 netem_dequeue+0x333/0xc50 net_tx_action+0x35c/0xa60 amt_send_igmp_gq（） 和 amt_send_mld_gq（） 只能從 amt_rcv（） 的 rcu_read_lock_bh（） 區段內的 amt_request_handler（） 呼叫。
    amt_request_handler（） 已經有查詢所針對的通道：它在該區段中找到或建立了它。
    使用 dev_queue_xmit（） 將查詢排入佇列只會返回 amt_dev_xmit（），後者會剝離乙太網路標頭並呼叫該通道的 amt_send_membership_query（）。而是直接從兩個發送者進行呼叫，就像 amt_send_advertisement（） 從接收路徑傳輸一樣。查詢永遠不會在 qdisc 中等待，通道只會在找到或建立通道的 RCU 區段內取消參照，並且 skb->cb 中不會儲存任何內容，因此不需要查詢或參照計數。移除沒有使用者的 amt_dev_xmit（）、amt_skb_cb（） 和 struct amt_skb_cb 的查詢分支。行為變更： - 轉送自己的一般查詢不再通過 amt 裝置的出口路徑：其 qdisc、tc 出口 （clsact/tcx）、netfilter 出口勾點和封包分接器。它們在底層上仍顯示為 UDP。- 成功傳送的查詢不再計為tx_dropped。舊的查詢分支通過解鎖標籤離開，該標籤將每個發送的查詢計為已刪除。- 從其他地方 （例如使用者空間查詢器） 在轉送上到達 amt_dev_xmit（） 的查詢現在會在 IGMP/MLD 類型交換器上丟棄。以前，它信任 skb->cb 持有的任何內容，並且 NULL 隧道命中了 WARN_ON（1）。（CVE-2026-98968）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - amt：直接从接收路径发送中继的常规查询 在 qdisc 中排队的 skb 的有效期可超过其通过 skb->cb 中原始指针引用的通道。例如，将中继上的 igmp_qrv 设置为 1 时，隧道的寿命为 135 秒，因此 amt 设备上 180 秒的 netem 延迟超过该延迟;当隧道到期并释放时，后续出列会在 amt_dev_xmit（） 中触发释放后使用。缺陷：KASAN：
    amt_dev_xmit+0x2763/0x2e20 中的 slab-after-free 调用跟踪：amt_dev_xmit+0x2763/0x2e20 [drivers/net/amt.c：1262] dev_hard_start_xmit+0x22f/0x620 sch_direct_xmit+0x12e/0xac0 netem_dequeue+0x333/0xc50 net_tx_action+0x35c/0xa60 amt_send_igmp_gq（） 和 amt_send_mld_gq（） 只能从 amt_rcv（） 的 rcu_read_lock_bh（） 部分内的 amt_request_handler（） 调用。
    amt_request_handler（） 已拥有查询所针对的隧道：它在该部分内找到或创建了隧道。
    将带有 dev_queue_xmit（） 的查询排队只会导致回到 amt_dev_xmit（），后者会剥离以太网标头并为该隧道调用 amt_send_membership_query（）。转而直接从两个发送方进行该调用，与 amt_send_advertisement（） 从接收路径传输的方式相同。查询从不在 qdisc 中等待，隧道只会在找到或创建它的 RCU 部分内取消引用，skb->cb 中不存储任何内容，因此不需要查找或引用计数。删除没有用户残留的 amt_dev_xmit（）、amt_skb_cb（） 和 struct amt_skb_cb 的查询分支。行为变更：- 中继自身的常规查询不再通过 amt 设备的出口路径：其 qdisc、tc 出口 （clsact/tcx）、netfilter 出口挂钩和数据包分流器。它们在页底层上仍作为 UDP 可见。- 已成功发送的查询不再计为tx_dropped。旧查询分支通过解锁标签离开，该标签将每个发送的查询计为已终止。- 从其他位置到达中继上的 amt_dev_xmit（） 的查询（如用户空间查询器），现在会在 IGMP/MLD 类型开关处被丢弃。以前，它信任 skb->cb 保留的任何内容，而空隧道会命中 WARN_ON（1）。（CVE-2026-98968）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - amt:リレーの General Query を受信パスから直接送信します。 qdisc のキューに入っている skb は、skb->cb の RAW ポインターを通して参照するトンネルよりも長存する可能性があります。たとえば、リレーで igmp_qrv を 1 に設定すると、トンネルは 135 秒間存続するため、amt デバイスでの 180 秒の netem 遅延はそれよりも長持ちします。トンネルの有効期限が切れて解放されると、後続の dequeue によって amt_dev_xmit() で use-after-free がトリガーされます。バグ:KASAN:
    amt_dev_xmit+0x2763/0x2e20 の slab-use-after-free 呼び出しトレース:amt_dev_xmit+0x2763/0x2e20 [drivers/net/amt.c:1262] dev_hard_start_xmit+0x22f/0x620 sch_direct_xmit+0x12e/0xac0 netem_dequeue+0x333/0xc50 net_tx_action+0x35c/0xa60 amt_send_igmp_gq() および amt_send_mld_gq() は、amt_rcv() の rcu_read_lock_bh() セクション内の amt_request_handler() からのみ呼び出されます。
    amt_request_handler() には、クエリの対象となるトンネルがすでにあります。そのセクション内で、クエリが見つかるか作成しています。
    クエリを dev_queue_xmit() でキューに入れると、amt_dev_xmit() にのみ戻ってきます。() は、イーサネットヘッダーをストリップし、そのトンネルに対して amt_send_membership_query() を呼び出します。代わりに、amt_send_advertisement() が受信パスから送信するのと同じ方法で、2 人の送信者から直接呼び出しを行います。クエリが qdisc で待機することはなく、トンネルはそれを見つけまたは作成した RCU セクション内で逆参照されるだけです。また、skb->cb には何も保存されないため、検索や参照カウントは必要ありません。ユーザーが残っていない amt_dev_xmit()、amt_skb_cb() および struct amt_skb_cb のクエリブランチを削除します。動作の変更: - リレー自身の一般クエリは、amt デバイスの出力パス(qdisc、tc 出力(clsact/tcx)、netfilter 出力フック、パケットタップ)を通過しなくなりました。これらは、アンダーレイ上で UDP としてまだ表示されます。- 正常に送信されたクエリは、tx_droppedとしてカウントされなくなります。古いクエリブランチは、送信されたすべてのクエリをドロップとしてカウントするロック解除ラベルまで残されていました。- ユーザー空間クエリアなど、別の場所からリレーで amt_dev_xmit() に到達するクエリは、IGMP/MLD タイプのスイッチでドロップされるようになりました。以前は、skb->cb が保持するものをすべて信頼しており、NULL トンネルが WARN_ON(1) にヒットしていました。(CVE-2026-98968)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

An update of the linux package has been released.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - amt: send the relay's General Query directly from the receive path An skb queued in a qdisc can outlive     the tunnel it references through a raw pointer in skb->cb. For example, with igmp_qrv set to 1 on the     relay a tunnel lives for 135s, so a netem delay of 180s on the amt device outlives it; when the tunnel     expires and is freed, the subsequent dequeue triggers a use-after-free in amt_dev_xmit(). BUG: KASAN:
    slab-use-after-free in amt_dev_xmit+0x2763/0x2e20 Call Trace: amt_dev_xmit+0x2763/0x2e20     [drivers/net/amt.c:1262] dev_hard_start_xmit+0x22f/0x620 sch_direct_xmit+0x12e/0xac0     netem_dequeue+0x333/0xc50 net_tx_action+0x35c/0xa60 amt_send_igmp_gq() and amt_send_mld_gq() are only     called from amt_request_handler(), inside the rcu_read_lock_bh() section of amt_rcv().
    amt_request_handler() already has the tunnel the query is for: it found or created it inside that section.
    Queuing the query with dev_queue_xmit() only leads back into amt_dev_xmit(), which strips the Ethernet     header and calls amt_send_membership_query() for that tunnel. Make that call directly from the two senders     instead, the same way amt_send_advertisement() transmits from the receive path. The query never waits in a     qdisc, the tunnel is only dereferenced inside the RCU section that found or created it, and nothing is     stored in skb->cb, so no lookup or refcount is needed. Remove the query branch of amt_dev_xmit(),     amt_skb_cb() and struct amt_skb_cb, which have no users left. Behaviour changes: - The relay's own General     Queries no longer pass through the amt device's egress path: its qdisc, tc egress (clsact/tcx), the     netfilter egress hook and packet taps. They are still visible as UDP on the underlay. - A query that is     sent successfully is no longer counted as tx_dropped. The old query branch left through the unlock label,     which counted every sent query as dropped. - A query that reaches amt_dev_xmit() on a relay from     elsewhere, such as a userspace querier, is now dropped at the IGMP/MLD type switch. Before, it trusted     whatever skb->cb held, and a NULL tunnel hit the WARN_ON(1). (CVE-2026-98968)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
371485	Linux Distros 未修補弱點：CVE-2026-98968	Nessus	Misc.	10/23/2026	11/7/2026	high
371485	Linux Distros 未修补的漏洞：CVE-2026-98968	Nessus	Misc.	10/23/2026	11/7/2026	high
371485	Linux Distros のパッチ未適用の脆弱性: CVE-2026-98968	Nessus	Misc.	10/23/2026	11/7/2026	high
375086	Photon OS 5.0: Linux PHSA-2026-5.0-92-1044	Nessus	PhotonOS Local Security Checks	11/2/2026	11/2/2026	critical
371485	Linux Distros Unpatched Vulnerability : CVE-2026-98968	Nessus	Misc.	10/23/2026	11/7/2026	high

Detections

Analytics

Plugins Search

high

high

high

critical

high