Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 藍牙：ISO：序列化並行連接呼叫 iso_sock_connect（） 會在取得通訊端鎖定之前檢查通訊端狀態，並在設定連線之前再次刪除鎖定。當通訊端開啟或繫結時，兩個呼叫端都可以通過准入檢查。呼叫端 A 可以複製其目的地以進行路由選取，然後呼叫端 B 可以在 A 系結或連線 CIS 之前取代通訊端目的地。然後，A 會使用 B 的目的地，以及為自己的要求選取的路線。B 也可以在 A 附加連接並設定 BT_CONNECT 之後繼續。對於延遲的 BIS 設定，B 可以綁定第二個 BIS 並覆寫 iso_pi（sk）->conn，使第一個連線的參照和 conn->sk 反向指標擱淺。並行 CIS 連線同樣可以取代通訊端的連線。稍後的拆卸只會中斷目前的連線，因此舊連線上的回呼可能會與通訊端釋放爭用，並存取釋放的通訊端。
    KASAN 報告： 錯誤：KASAN：iso_sock_hold+0xf7/0x1b0 中的 slab-use-after-free 呼叫追蹤：
    iso_sock_hold+0xf7/0x1b0 iso_conn_del+0x7b/0x1d0 iso_connect_cfm+0x186/0x16a0 hci_conn_failed+0x154/0x280 hci_abort_conn_sync+0x3dc/0x7d0 hci_cmd_sync_work+0x173/0x300 由任務 121 分配： sk_alloc+0x2b/0x6d0 bt_sock_alloc+0x29/0x370 iso_sock_alloc.constprop.0+0x19/0x300 iso_sock_create+0x94/0x100 由任務 121 釋放： kfree+0x121/0x3c0 __sk_destruct+0x42b/0x540 iso_sock_release+0x29d/0x340 __sock_release+0xa1/0x260 檢查通訊端鎖定下的准入，並在發布目的地之前標記正在進行的連接操作。在路由查詢和連線設定中保留該旗標設定，拒絕另一個
    -EBADFD，然後才能變更目的地或附加連線。在任一協助程式傳回之後清除旗標，包括失敗時，以便重試失敗的設定。需要單獨的旗標，因為在取得 HCI 裝置鎖定之前必須釋放通訊端鎖定，而BT_CONNECT需要附加的連線。透過 iso_sock_recvmsg（） 保留現有的狀態轉換和延遲的 CIS 完成。在採用新的參照或發佈任一指標之前，先拒絕 __iso_chan_add（） 中現有的通訊端附件，以便每個呼叫端保留連線關聯。保留延遲 CIS 設定的相同通訊端、相同連線成功案例。在設定 BIS 之前拒絕連接的通訊端，以便在拒絕附件之前不會宣告可重複使用的 BIS。在 CIS 設定中，在 iso_conn_add（） 之前拒絕不同的 HCI 連線，並直接捨棄每次嘗試的 HCI 保留。無主iso_conn在分離後可能仍帶有另一個參考，因此不能依靠它的破壞來釋放該保留。
    iso_listen_bis（） 會在裝置鎖定下建立新的 PA HCI/ISO 配對，因此暫時 iso_conn_put（） 會釋放 ISO 候選項目，並捨棄其拒絕時的 HCI 保留。iso_conn_ready（） 使用新配置、未發佈且沒有連線的子項，因此通訊端拒絕無法連線。（CVE-2026-99012）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：ISO：序列化并发连接调用 iso_sock_connect（） 会在采用套接字锁定前检查套接字状态，并在建立连接之前再次终止锁定。当套接字打开或绑定时，两个调用方均可通过许可检查。调用者 A 可以复制其路由选择的目的地，然后调用者 B 可以在 A 绑定或连接 CIS 之前替换套接字目的地。然后，A 使用 B 的目的地和为自己的请求选择的路由。B 也可以在 A 附加连接并设置BT_CONNECT之后继续执行。对于延迟的 BIS 设置，B 可以绑定第二个 BIS 并覆盖 iso_pi（sk）->conn，从而使第一个连接的引用和 conn->sk 反向指针搁浅。并发 CIS 连接同样可替换套接字的连接。之后的拆卸仅分离当前连接，因此旧连接上的回调可与套接字释放争用并访问释放的套接字。
    KASAN 报告： 缺陷： KASAN： iso_sock_hold+0xf7/0x1b0 调用跟踪中的释放后使用 SLAB：
    iso_sock_hold+0xf7/0x1b0 iso_conn_del+0x7b/0x1d0 iso_connect_cfm+0x186/0x16a0 hci_conn_failed+0x154/0x280 hci_abort_conn_sync+0x3dc/0x7d0 hci_cmd_sync_work+0x173/0x300 按任务 121 分配：sk_alloc+0x2b/0x6d0 bt_sock_alloc+0x29/0x370 iso_sock_alloc.constprop.0+0x19/0x300 iso_sock_create+0x94/0x100 由任务 121 释放： kfree+0x121/0x3c0 __sk_destruct+0x42b/0x540 iso_sock_release+0x29d/0x340 __sock_release+0xa1/0x260 检查套接字锁定下的允许，并在发布其目标之前标记正在进行的连接操作。在路由查找和连接设置中保留该标记设置，拒绝使用
    -EBADFD 才能更改目标或附加连接。在任一帮助程序返回后清除该标记（包括失败时），以便可以重试失败的设置。需要一个单独的标记，因为必须在获取 HCI 设备锁定之前释放套接字锁定，而BT_CONNECT则需要附加的连接。通过 iso_sock_recvmsg（） 保留现有状态转换和延迟的 CIS 完成。在获取新引用或发布任一指针之前拒绝 __iso_chan_add（） 中的现有套接字附件，以保持每个调用程序的连接关联。保留延迟 CIS 设置的相同套接字、相同连接的成功案例。在设置 BIS 之前拒绝附加的套接字，以便在拒绝附件之前不声明可重用的 BIS。在 CIS 设置中，在 iso_conn_add（） 之前拒绝其他 HCI 连接并直接终止每次尝试的 HCI 保留。无主iso_conn在分离后可能仍带有另一个参考，因此不能依靠其销毁来释放该保留。
    iso_listen_bis（） 在设备锁下创建新的 PA HCI/ISO 对，因此临时 iso_conn_put（） 释放 ISO 候选并终止其在拒绝时的 HCI 保持。iso_conn_ready（） 使用新分配的未发布子程序，且没有任何连接，从而无法访问套接字端拒绝。（CVE-2026-99012）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Bluetooth:ISO:同時接続呼び出しのシリアル化 iso_sock_connect() は、ソケットロックを取得する前にソケットの状態をチェックし、接続を設定する前にロックを再度ドロップします。ソケットが開いているかバインドされている間は、2 人の呼び出し元が両方ともアドミッションチェックに合格する可能性があります。呼び出し元Aはルート選択のために宛先をコピーでき、呼び出し元BはAがCISをバインドまたは接続する前にソケット宛先を置き換えることができます。次に、A は、B の宛先と、独自のリクエストに対して選択されたルートを使用します。B は、A が接続をアタッチして BT_CONNECT を設定した後も続行できます。遅延 BIS セットアップの場合、B は 2 つ目の BIS をバインドし、iso_pi(sk)->conn を上書きし、1 つ目の接続の参照と conn->sk バックポインターを撩させる可能性があります。同時 CIS 接続も同様に、ソケットの接続を置換できます。後のティアダウンは現在の接続をデタッチするだけです。そのため、古い接続のコールバックはソケットのリリースと競合し、解放されたソケットにアクセスする可能性があります。
    KASAN が報告しました:バグ:KASAN:iso_sock_hold+0xf7/0x1b0 コールトレースの slab-use-after-free:
    iso_sock_hold+0xf7/0x1b0 iso_conn_del+0x7b/0x1d0 iso_connect_cfm+0x186/0x16a0 hci_conn_failed+0x154/0x280 hci_abort_conn_sync+0x3dc/0x7d0 hci_cmd_sync_work+0x173/0x300 タスク121によって割り当てられる: sk_alloc+0x2b/0x6d0 bt_sock_alloc+0x29/0x370 iso_sock_alloc.constprop.0+0x19/0x300 iso_sock_create+0x94/0x100 タスク121によって解放される: kfree+0x121/0x3c0 __sk_destruct+0x42b/0x540 iso_sock_release+0x29d/0x340 __sock_release+0xa1/0x260 宛先を公開する前に、ソケットロック下のアドミッションをチェックし、進行中の接続操作をマークします。ルート検索と接続セットアップ全体でそのフラグを設定したままにして、別の接続を拒否します
    -EBADFD が宛先を変更したり、接続をアタッチしたりする前に、失敗時も含めて、いずれかのヘルパーが戻った後にフラグをクリアし、失敗したセットアップを再試行できるようにします。HCI 装置ロックを取得する前にソケット・ロックを解放する必要があるのに対し、BT_CONNECTには接続が必要なため、個別のフラグが必要です。既存の状態遷移と延期された CIS 完了を iso_sock_recvmsg() を通じて維持します。新しい参照を取得するか、いずれかのポインターを公開する前に、__iso_chan_add() の既存のソケット添付ファイルを拒否して、すべての呼び出し元が接続の関連付けを保持するようにします。遅延 CIS セットアップに関して、同一ソケット、同一接続の成功事例を維持します。BIS セットアップの前に、添付されたソケットを拒否して、添付ファイルが拒否される前に再利用可能な BIS が要求されないようにします。CIS セットアップで、iso_conn_add() の前に異なる HCI 接続を拒否し、試行ごとの HCI 保留を直接ドロップします。所有されていないiso_connは、切り離された後も別の参照を持っている可能性があるため、その保留を解放するためにその破壊に頼ることはできません。
    iso_listen_bis() は、デバイスロックの下に新しい PA HCI/ISO ペアを作成するため、一時的な iso_conn_put() は ISO 候補を解放し、拒否時にその HCI ホールドをドロップします。iso_conn_ready() は、接続のない新しく割り当てられた未公開の子を使用するため、ソケット側の拒否に到達不能になります。(CVE-2026-99012)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Bluetooth: ISO: Serialize concurrent connect calls iso_sock_connect() checks the socket state before     taking the socket lock and drops the lock again before setting up a connection. Two callers can both pass     the admission check while the socket is open or bound. Caller A can copy its destination for route     selection, then caller B can replace the socket destination before A binds or connects the CIS. A then     uses B's destination with the route selected for its own request. B can also proceed after A attaches a     connection and sets BT_CONNECT. For deferred BIS setup, B can bind a second BIS and overwrite     iso_pi(sk)->conn, leaving the first connection's reference and conn->sk back-pointer stranded. Concurrent     CIS connects can likewise replace the socket's connection. Later teardown only detaches the current     connection, so a callback on the old connection can race with socket release and access a freed socket.
    KASAN reported: BUG: KASAN: slab-use-after-free in iso_sock_hold+0xf7/0x1b0 Call Trace:
    iso_sock_hold+0xf7/0x1b0 iso_conn_del+0x7b/0x1d0 iso_connect_cfm+0x186/0x16a0 hci_conn_failed+0x154/0x280     hci_abort_conn_sync+0x3dc/0x7d0 hci_cmd_sync_work+0x173/0x300 Allocated by task 121: sk_alloc+0x2b/0x6d0     bt_sock_alloc+0x29/0x370 iso_sock_alloc.constprop.0+0x19/0x300 iso_sock_create+0x94/0x100 Freed by task     121: kfree+0x121/0x3c0 __sk_destruct+0x42b/0x540 iso_sock_release+0x29d/0x340 __sock_release+0xa1/0x260     Check admission under the socket lock and mark the connect operation in progress before publishing its     destination. Keep that flag set across route lookup and connection setup, rejecting another connect with
    -EBADFD before it can change the destination or attach a connection. Clear the flag after either helper     returns, including on failure, so a failed setup can be retried. A separate flag is needed because the     socket lock must be released before acquiring the HCI device lock, while BT_CONNECT requires an attached     connection. Keep the existing state transitions and the deferred CIS completion through     iso_sock_recvmsg(). Reject an existing socket attachment in __iso_chan_add() before taking a new reference     or publishing either pointer, so every caller preserves the connection association. Keep the same-socket,     same-connection success case for deferred CIS setup. Reject an attached socket before BIS setup so a     reusable BIS is not claimed before the attachment is rejected. In CIS setup, reject a different HCI     connection before iso_conn_add() and drop the per-attempt HCI hold directly. An unowned iso_conn may still     carry another reference after detachment, so its destruction cannot be relied on to release that hold.
    iso_listen_bis() creates a fresh PA HCI/ISO pair under the device lock, so the temporary iso_conn_put()     frees the ISO candidate and drops its HCI hold on rejection. iso_conn_ready() uses a freshly allocated,     unpublished child with no connection, making the socket-side rejection unreachable. (CVE-2026-99012)

Note that Nessus relies on the presence of the package as reported by the vendor.

An update of the linux package has been released.

ID	Name	Product	Family	Published	Updated	Severity
371564	Linux Distros 未修補弱點：CVE-2026-99012	Nessus	Misc.	10/23/2026	11/7/2026	high
371564	Linux Distros 未修补的漏洞：CVE-2026-99012	Nessus	Misc.	10/23/2026	11/7/2026	high
371564	Linux Distros のパッチ未適用の脆弱性: CVE-2026-99012	Nessus	Misc.	10/23/2026	11/7/2026	high
376285	SUSE SLED15: cluster-md-kmp-default / dlm-kmp-default / gfs2-kmp-default / etc (SUSE-SU-2026:5091-1)	Nessus	SuSE Local Security Checks	11/5/2026	11/5/2026	critical
371564	Linux Distros Unpatched Vulnerability : CVE-2026-99012	Nessus	Misc.	10/23/2026	11/7/2026	high
375086	Photon OS 5.0: Linux PHSA-2026-5.0-92-1044	Nessus	PhotonOS Local Security Checks	11/2/2026	11/2/2026	critical

Detections

Analytics

Plugins Search

high

high

high

critical

high

critical