An update of the linux package has been released.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - PCI: pnv_php: Fix surprise plug detection and recovery The existing PowerNV hotplug code did not handle     surprise plug events correctly, leading to a complete failure of the hotplug system after device removal     and a required reboot to detect new devices. This comes down to two issues: 1) When a device is surprise     removed, often the bridge upstream port will cause a PE freeze on the PHB. If this freeze is not cleared,     the MSI interrupts from the bridge hotplug notification logic will not be received by the kernel, stalling     all plug events on all slots associated with the PE. 2) When a device is removed from a slot, regardless     of surprise or programmatic removal, the associated PHB/PE ls left frozen. If this freeze is not cleared     via a fundamental reset, skiboot is unable to clear the freeze and cannot retrain / rescan the slot. This     also requires a reboot to clear the freeze and redetect the device in the slot. Issue the appropriate     unfreeze and rescan commands on hotplug events, and don't oops on hotplug if pci_bus_to_OF_node() returns     NULL. [bhelgaas: tidy comments] (CVE-2025-38623)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PCIpnv_phpアップデートプラグの検出と復元を修正。既存の PowerNV ホットプラグコードはアップデートプラグイベントを適切に処理しませんでした。これにより、デバイスを削除した後にホットプラグシステムが完全にエラーを起こし、新しいデバイスを検出するために再起動が必要でした。これは次の 2 つの問題につながります。 1) デバイスが不意に削除された場合、多くの場合、ブリッジ Upstream ポートは PHB 上で PE フリーズを引き起こします。このフリーズがクリアされない場合、ブリッジのホットプラグ通知ロジックからの MSI 割り込みがカーネルによって受信されず、PE に関連付けられるすべてのスロットですべてのプラグイベントがストールします。 2) デバイスがスロットから削除されると、不意の削除またはプログラムによる削除にかかわらず、関連する PHB/PE はフリーズしたままになります。このフリーズが基本的なリセットでクリアされない場合、skboot はフリーズをクリアできず、スロットを再トレーニング/再スキャンできません。また、フリーズをクリアしてスロットでデバイスを再検出するためにも、再起動する必要があります。ホットプラグイベントで適切な unfreez と rescan コマンドを発行します。また、pci_bus_to_OF_node() が NULL を返す場合は、ホットプラグを oops しません。 [bhelgaas整理コメント]CVE-2025-38623

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - PCIpnv_php修正意外插入偵測與復原現有的 PowerNV 熱插拔程式碼未正確處理意外插入事件導致移除裝置後熱插拔系統完全失敗且需要重新開機才能偵測新裝置。這可歸結為兩個問題1) 當裝置遭到意外移除時橋接器上游連接埠通常會造成 PHB 上的 PE 凍結。若不清除此凍結狀態核心將不會收到來自橋接器熱插拔通知邏輯的 MSI 中斷進而停止與 PE 相關之所有插槽上的所有插拔事件。 2) 從插槽移除裝置時無論是意外移除還是程式設計移除相關聯的 PHB/PE ls 都會保持凍結狀態。如果此凍結未透過基礎重設清除則 skiboot 將無法清除該凍結且無法重新訓練/重新掃描插槽。這也需要重新開機以清除凍結並重新偵測插槽中的裝置。對熱插拔事件發出適當的取消凍結和重新掃描命令如果 pci_bus_to_OF_node() 傳回 NULL則熱插拔時不會引發 oops。 [bhelgaas清理註解] (CVE-2025-38623)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PCIpnv_php修复意外插入检测和恢复 现有 PowerNV 热插拔代码未正确处理意外插入事件从而导致删除设备之后热插拔系统完全故障并且需要重新启动才能检测新设备。这可归结为两个问题: 1) 设备遭到意外删除时桥接上游端口通常会在 PHB 上造成 PE 冻结。如果未清除此冻结内核将不会接收来自桥接热插拔通知逻辑的 MSI 中断从而停止与该 PE 相关的所有插槽上的所有插拔事件。 2) 当从插槽删除设备时无论意外删除还是程序化删除相关的 PHB/PE 都会保持冻结状态。如果未通过基本重置清除此冻结则 skiboot 无法清除冻结且无法重新培训/重新扫描插槽。这还需要重新启动以清除冻结并重新检测插槽中的设备。对热插拔事件发出适当的解冻和重新扫描命令并且如果 pci_bus_to_OF_node() 返回 NULL则在热插拔时不 oops。 [bhelgaas整理注释] (CVE-2025-38623)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	Name	Product	Family	Published	Updated	Severity
265433	Photon OS 4.0: Linux PHSA-2025-4.0-0864	Nessus	PhotonOS Local Security Checks	9/19/2025	9/19/2025	high
260264	Linux Distros Unpatched Vulnerability : CVE-2025-38623	Nessus	Misc.	9/2/2025	9/30/2025	medium
260264	Linux Distros のパッチ未適用の脆弱性: CVE-2025-38623	Nessus	Misc.	9/2/2025	9/30/2025	medium
260264	Linux Distros 未修補的弱點：CVE-2025-38623	Nessus	Misc.	9/2/2025	9/30/2025	medium
260264	Linux Distros 未修补的漏洞：CVE-2025-38623	Nessus	Misc.	9/2/2025	9/30/2025	medium

Detections

Analytics

Plugins Search

high

medium

medium

medium

medium