There are packages installed that are affected by a vulnerability referenced in the following CVE:

  CVE-2026-61475


遠端主機上安裝的 qemu 為 3.1.0-8 之前版本。因此，它會受到 ALAS2-2026-3866 公告中所提及的多個弱點影響。

    在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，set_pixel_format（） 函式無法正確驗證用戶端 SetPixelFormat 訊息中的 red_max、green_max 和 blue_max 欄位。這些欄位會以 16 位元值接收，但在內部儲存為 uint8_t。惡意 VNC 用戶端可傳送超過 255 的最大值 （例如 0x0100），該值會通過現有的非零驗證檢查，但在指派時會無訊息地截斷為 0，導致 Tight PNG 調色板編碼路徑中除以零。這允許遠端攻擊者損毀 QEMU 處理程序，導致該 QEMU 執行個體所服務的所有客體遭到拒絕服務。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-15578）

    在 QEMU 的 USB 重新導向 （usbredir） 實作中，hw/usb/redirect.c 中的 usbredir_buffered_bulk_packet（） 函式中存在釋放後使用弱點。處理分割成最大封包大小區塊的多片段緩衝大量封包時，只有最終片段擁有共用剖析器記憶體配置 （透過 free_on_destroy）。如果 bufp_alloc（）由於佇列溢位而刪除最終片段，則會釋放支援緩衝區，而先前已排入佇列的片段仍保留內部指標。
    然後，後續客體大量傳入會從釋放的堆積記憶體讀取。惡意或受損的 USB 裝置 （或特製的 usbredir 串流） 可能會觸發此狀況，進而可能導致堆積記憶體的資訊洩露或 QEMU 處理程序崩潰 （拒絕服務）。此弱點自 QEMU v1.4.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修正。（CVE-2026-15705）

    追蹤背景工作執行緒中有損矩形時，界限條件的錯誤計算會導致 OOB 寫入，進而損毀進一步的背景工作狀態，和/或觸發可能位於 VncWorker 結構之外的任何保護頁面。這可以透過無特權使用者仔細選擇客體作業系統中的顯示解析度來觸發。（CVE-2026-48002）

    vnc_update_freq中的迴圈邊界不正確，會導致反覆運算超過最後一列，並越過VNC統計資料陣列中的最後一欄。使用適當選擇的維度，這可能是 OOB 讀取，可存取內嵌統計資料陣列所在 VncDisplay 結構以外的記憶體。

    如果這擊中保護頁面，可能會觸發訪客崩潰。如果沒有，則 VNC 頻率統計資料將使用垃圾更新。（CVE-2026-48003）

    在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，vnc_refresh_lossy_rect（） 函式在有損圖塊重新整理期間標記已變更點陣圖列時，包含越界寫入弱點。此函式會無條件地為每個圖塊標示已變更點陣圖的完整 VNC_STAT_RECT （64） 列。當顯示高度不是 64 像素的倍數時，最後一個磚列是部分磚，而迴圈會寫入 vs->dirty[VNC_MAX_HEIGHT] 陣列的結尾。例如，使用 2160 像素高的顯示器，最後一個統計資料磚從 y=2112 開始，而 64 列迴圈寫入列 2112-2175，將 16 列 （640 位元組） 溢位，越過已變更點陣圖進入後續 VncState 欄位。惡意 VNC 用戶端可能會利用此堆積緩衝區溢位，該用戶端協商特定的顯示解析度以損毀 QEMU 處理程序記憶體，從而導致拒絕服務或可能執行任意程式碼。在 QEMU v11.0.3 和 v10.0.12 中修正。
    (CVE-2026-61475)

    在 QEMU 的 USB 重新導向 （usbredir） 實作 （hw/usb/redirect.c） 中，惡意 usbredir 對等體可以傳送 ep_info 訊息，在大量接收開始後將 max_packet_size 重設為 0。這會導致多種可利用的條件：（1） usbredir_buffered_bulk_packet（） 中的無限循環，其中分割循環遞增 max_packet_size （0） 並且從未進展，（2） usbredir_buffered_bulk_in_complete_ftdi（） 中的 SIGFPE（浮點異常）來自模除以零運算，以及 （3） usbredir_handle_buffered_bulk_in_data（） 中的 SIGFPE，在計算bytes_per_transfer時從除以零。惡意的 USB 重新導向對等體可以利用此漏洞使 QEMU 處理程序當機 （拒絕服務） 或導致其無限期停擺。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-63319）

    在 QEMU 的 9pfs （virtio-9p） 實作中，TXATTRCREATE 和 TXATTRWALK 要求處理常式不會限制同時開啟的 xattr FID 數目。每個 xattr FID 都會為擴充屬性值配置主機記憶體緩衝區。具有直接 9p 伺服器存取權的惡意特權訪客使用者可以透過重複建立 xattr FID 而不關閉它們來利用這一點，從而導致無限的主機記憶體消耗和最終的主機記憶體耗盡 （拒絕服務）。此弱點自 QEMU v0.14.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修復。（CVE-2026-8348）

    在虛擬化管理程式主機環境 （例如 QEMU） 上 freedesktop.org v4.9.2 之前的 libslirp 版本中，TCP 緊急資料處理 （sosendoob） 中的越界堆積讀取和整數反向溢位，允許特權客體虛擬機器攻擊者 （root 或 CAP_NET_RAW） 透過傳送具有操縱的 URG 旗標和緊急指標 （ti_urp） 的特製 TCP 區段來洩漏 GB 的敏感主機處理堆記憶體。（CVE-2026-9539）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 qemu 版本低于 3.1.0-8。因此，该软件受到 ALAS2-2026-3866 公告中提及的多个漏洞影响。

    在 QEMU 的 VNC 服务器实现 （ui/vnc.c） 中，set_pixel_format（） 函数未正确验证客户端 SetPixelFormat 消息中的red_max、green_max和blue_max字段。这些字段作为 16 位值接收，但作为 uint8_t 存储在内部。恶意 VNC 客户端可发送大于 255 的最大值（例如 0x0100），该值通过现有的非零验证检查，但在分配时静默截断为 0，从而导致 Tight PNG 调色板编码路径中的除零。这允许远程攻击者使 QEMU 进程崩溃，从而导致该 QEMU 实例服务的所有客户机拒绝服务。已在 QEMU v11.0.3 和 v10.0.12 中修复。（CVE-2026-15578）

    在 QEMU 的 USB 重定向 （usbredir） 实现中，hw/usb/redirect.c 的 usbredir_buffered_bulk_packet（） 函数中存在释放后使用漏洞。处理拆分为 max-packet-size 区块的多片段缓冲批量数据包时，只有最终片段拥有共享的解析器内存分配（通过 free_on_destroy）。如果 bufp_alloc（） 由于队列溢出而丢弃最后一个片段，它会释放后备缓冲区，而已排队的较早片段仍保留内部指针。
    然后，后续客户机批量输入传输从释放的堆内存中读取。恶意或遭到破坏的 USB 设备（或特制的 usbredir 流）可触发此条件，可能导致堆内存中信息泄露或 QEMU 进程崩溃（拒绝服务）。此漏洞自 QEMU v1.4.0-rc0 起即存在，并已在 v11.0.3 和 v10.0.12 中修复。（CVE-2026-15705）

    跟踪工作线程中的有损矩形时，错误计算边界条件将导致越界写入，进而损坏进一步的工作状态，和/或触发可能位于 VncWorker 结构之外的任何保护页面。非特权用户在客户机操作系统中仔细选择显示分辨率可触发此漏洞。（CVE-2026-48002）

    vnc_update_freq 中错误的循环边界导致迭代超过最后一行并超过最后一列 VNC 统计数据数组。通过适当选择的维度，这可能是访问嵌入统计数据数组的 VncDisplay 结构之外的内存的 OOB 读取。

    如果这发生在保护页面上，可能触发客户机崩溃。如果不同步，则将用垃圾更新 VNC 频率统计数据。（CVE-2026-48003）

    在 QEMU 的 VNC 服务器实现 （ui/vnc.c） 中，有损平铺刷新期间标记脏位图行时，vnc_refresh_lossy_rect（） 函数包含一个越界写入漏洞。该函数无条件地为每个平铺标记整整 VNC_STAT_RECT （64） 行的脏位图。如果显示高度不是 64 像素的倍数，则最后一个平铺行是部分平铺，并且循环写入超过 vs->dirty[VNC_MAX_HEIGHT] 数组的末尾。例如，对于 2160 像素高的显示器，最后一个统计信息磁贴从 y=2112 开始，并且 64 行循环将行写入行 2112-2175，将 16 行（640 字节）溢出，超过脏位图到后续的 VncState 字段中。恶意 VNC 客户端可能会协商特定的显示分辨率，从而利用此堆缓冲区溢出损坏 QEMU 进程内存，从而导致拒绝服务或可能执行任意代码。已在 QEMU v11.0.3 和 v10.0.12 中修复。
    (CVE-2026-61475)

    在 QEMU 的 USB 重定向 （usbredir） 实现 （hw/usb/redirect.c） 中，恶意的 usbredir 对等机可能会发送 ep_info 消息，在批量接收开始后将 max_packet_size 重置为 0。这会导致多种可利用的情况：（1） usbredir_buffered_bulk_packet（） 中的无限循环，其中拆分循环递max_packet_size增 （0） 且从未进行，（2） usbredir_buffered_bulk_in_complete_ftdi（） 中的 SIGFPE（浮点异常）来自模数除零运算，以及 （3） usbredir_handle_buffered_bulk_in_data（） 中的 SIGFPE 在计算bytes_per_transfer时来自除零。恶意 USB 重定向对等机可利用此问题导致 QEMU 进程崩溃（拒绝服务）或造成其无限期挂起。已在 QEMU v11.0.3 和 v10.0.12 中修复。（CVE-2026-63319）

    在 QEMU 的 9pfs （virtio-9p） 实现中，TXATTRCREATE 和 TXATTRWALK 请求处理程序不会限制同时打开的 xattr FID 的数量。每个 xattr FID 都会为扩展的属性值分配主机内存缓冲区。可直接访问 9p 服务器的恶意特权客户机用户可通过在不关闭 xattr FID 的情况下重复创建 xattr FID，来利用此漏洞，导致无限的主机内存消耗和最终的主机内存耗尽（拒绝服务）。此漏洞自 QEMU v0.14.0-rc0 开始存在，并已在 v11.0.3 和 v10.0.12 中得到修复。（CVE-2026-8348）

    在管理程序主机环境（例如 QEMU）上 freedesktop.org libslirp v4.9.2 之前版本的 TCP 紧急数据处理 （sosendoob） 中存在越界堆读取和整数下溢，允许特权客户机 VM 攻击者（根或CAP_NET_RAW）通过发送带有操纵的 URG 标志和紧急指针的特制 TCP 段，泄露 GB 的敏感主机进程堆内存 （ti_urp）。（CVE-2026-9539）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 QEMU 的VNC伺服器實作 （ui/vnc.c） 中，set_pixel_format（） 函式無法正確驗證用戶端 SetPixelFormat 訊息中的 red_max、green_max 和 blue_max 欄位。這些欄位會以 16 位元值接收，但在內部儲存為 uint8_t。惡意 VNC 用戶端可傳送超過 255 的最大值 （例如 0x0100），該值會通過現有的非零驗證檢查，但在指派時會無訊息地截斷為 0，導致 Tight PNG 調色板編碼路徑中除以零。這允許遠端攻擊者損毀 QEMU 處理程序，導致該 QEMU 執行個體所服務的所有客體遭到拒絕服務。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-15578） 在 QEMU 的 USB 重新導向 （usbredir） 實作中，hw/usb/redirect.c 中的 usbredir_buffered_bulk_packet（） 函式中存在釋放後使用弱點。處理分割成最大封包大小區塊的多片段緩衝大量封包時，只有最終片段擁有共用剖析器記憶體配置 （透過 free_on_destroy）。如果 bufp_alloc（）由於佇列溢位而刪除最終片段，則會釋放支援緩衝區，而先前已排入佇列的片段仍保留內部指標。然後，後續客體大量傳入會從釋放的堆積記憶體讀取。惡意或受損的 USB 裝置 （或特製的 usbredir 串流） 可能會觸發此狀況，進而可能導致堆積記憶體的資訊洩露或 QEMU 處理程序崩潰 （拒絕服務）。此弱點自 QEMU v1.4.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修正。（CVE-2026-15705） 追蹤背景工作執行緒中有損矩形時，界限條件的錯誤計算會導致 OOB 寫入，進而損毀進一步的背景工作狀態，和/或觸發可能位於 VncWorker 結構之外的任何保護頁面。這可以透過無特權使用者仔細選擇客體作業系統中的顯示解析度來觸發。（CVE-2026-48002） vnc_update_freq中的迴圈邊界不正確會導致反覆運算超過最後一列，並越過 VNC stats 陣列中的最後一列。
    使用適當選擇的維度，這可能是 OOB 讀取，可存取內嵌統計資料陣列所在 VncDisplay 結構以外的記憶體。如果這擊中保護頁面，可能會觸發訪客崩潰。如果沒有，則 VNC 頻率統計資料將使用垃圾更新。（CVE-2026-48003） 在 QEMU 的 VNC 伺服器實作 （ui/vnc.c） 中，vnc_refresh_lossy_rect（） 函式在有損圖塊重新整理期間標記已變更點陣圖列時，包含越界寫入弱點。此函式會無條件地為每個圖塊標示已變更點陣圖的完整 VNC_STAT_RECT （64） 列。當顯示高度不是 64 像素的倍數時，最後一個磚列是部分磚，而迴圈會寫入 vs->dirty[VNC_MAX_HEIGHT] 陣列的結尾。例如，使用 2160 像素高的顯示器，最後一個統計資料磚從 y=2112 開始，而 64 列迴圈寫入列 2112-2175，將 16 列 （640 位元組） 溢位，越過已變更點陣圖進入後續 VncState 欄位。惡意 VNC 用戶端可能會利用此堆積緩衝區溢位，該用戶端協商特定的顯示解析度以損毀 QEMU 處理程序記憶體，從而導致拒絕服務或可能執行任意程式碼。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-61475） 在 QEMU 的 USB 重新導向 （usbredir） 實作 （hw/usb/redirect.c） 中，惡意 usbredir 對等體可以傳送 ep_info 訊息，在大量接收已經開始後，將 max_packet_size 重設為 0。這會導致多種可利用的條件：（1） usbredir_buffered_bulk_packet（） 中的無限循環，其中分割循環遞增 max_packet_size （0） 並且從未進展，（2） usbredir_buffered_bulk_in_complete_ftdi（） 中的 SIGFPE（浮點異常）來自模除以零運算，以及 （3） usbredir_handle_buffered_bulk_in_data（） 中的 SIGFPE，在計算bytes_per_transfer時從除以零。惡意的 USB 重新導向對等體可以利用此漏洞使 QEMU 處理程序當機 （拒絕服務） 或導致其無限期停擺。在 QEMU v11.0.3 和 v10.0.12 中修正。（CVE-2026-63319） 在 QEMU 的 9pfs （virtio-9p） 實作中，TXATTRCREATE 和 TXATTRWALK 要求處理常式不會限制同時開啟的 xattr FID 的數量。每個 xattr FID 都會為擴充屬性值配置主機記憶體緩衝區。具有直接 9p 伺服器存取權的惡意特權訪客使用者可以透過重複建立 xattr FID 而不關閉它們來利用這一點，從而導致無限的主機記憶體消耗和最終的主機記憶體耗盡 （拒絕服務）。此弱點自 QEMU v0.14.0-rc0 以來一直存在，並在 v11.0.3 和 v10.0.12 中修復。（CVE-2026-8348） 在虛擬化管理程式主機環境 （例如 QEMU） 上，v4.9.2 之前 freedesktop.org libslirp 版本的 TCP 緊急資料處理 （sosendoob） 中的越界堆積讀取和整數反向溢位，允許特權客體虛擬機器攻擊者 （root 或 CAP_NET_RAW） 透過傳送帶有操縱的 URG 旗標和緊急指標 （ti_urp） 的特製 TCP 區段，洩漏 GB 的敏感主機處理堆記憶體。（CVE-2026-9539）CVE-2026-61475 （）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 QEMU 的 VNC 服务器实现 （ui/vnc.c） 中，set_pixel_format（） 函数未正确验证客户端 sSetPixelFormat 消息中的red_max、green_max和blue_max字段。这些字段作为 16 位值接收，但作为 uint8_t 存储在内部。恶意 VNC 客户端可发送大于 255 的最大值（例如 0x0100），该值通过现有的非零验证检查，但在分配时静默截断为 0，从而导致 Tight PNG 调色板编码路径中的除零。这允许远程攻击者使 QEMU 进程崩溃，从而导致该 QEMU 实例服务的所有客户机拒绝服务。已在 QEMU v11.0.3 和 v10.0.12 中修复。（CVE-2026-15578） 在 QEMU 的 USB 重定向 （usbredir） 实现中，hw/usb/redirect.c 的 usbredir_buffered_bulk_packet（） 函数中存在释放后使用漏洞。处理拆分为 max-packet-size 区块的多片段缓冲批量数据包时，只有最终片段拥有共享的解析器内存分配（通过 free_on_destroy）。如果 bufp_alloc（） 由于队列溢出而丢弃最后一个片段，它会释放后备缓冲区，而已排队的较早片段仍保留内部指针。然后，后续客户机批量输入传输从释放的堆内存中读取。恶意或遭到破坏的 USB 设备（或特制的 usbredir 流）可触发此条件，可能导致堆内存中信息泄露或 QEMU 进程崩溃（拒绝服务）。此漏洞自 QEMU v1.4.0-rc0 起即存在，并已在 v11.0.3 和 v10.0.12 中修复。（CVE-2026-15705） 跟踪工作线程中的有损矩形时，错误计算边界条件将导致越界写入，这可损坏进一步的工作状态，和/或触发 VncWorker 结构之外的任何保护页面。非特权用户在客户机操作系统中仔细选择显示分辨率可触发此漏洞。（CVE-2026-48002） vnc_update_freq 中错误的循环边界导致迭代超过最后一行并超过最后一列 VNC 统计数据数组中的最后一列。
    通过适当选择的维度，这可能是访问嵌入统计数据数组的 VncDisplay 结构之外的内存的 OOB 读取。如果这发生在保护页面上，可能触发客户机崩溃。如果不同步，则将用垃圾更新 VNC 频率统计数据。（CVE-2026-48003） 在 QEMU 的 VNC 服务器实现 （ui/vnc.c） 中，有损平铺刷新期间标记脏位图行时，vnc_refresh_lossy_rect（） 函数包含一个越界写入漏洞。该函数无条件地为每个平铺标记整整 VNC_STAT_RECT （64） 行的脏位图。如果显示高度不是 64 像素的倍数，则最后一个平铺行是部分平铺，并且循环写入超过 vs->dirty[VNC_MAX_HEIGHT] 数组的末尾。例如，对于 2160 像素高的显示器，最后一个统计信息磁贴从 y=2112 开始，并且 64 行循环将行写入行 2112-2175，将 16 行（640 字节）溢出，超过脏位图到后续的 VncState 字段中。恶意 VNC 客户端可能会协商特定的显示分辨率，从而利用此堆缓冲区溢出损坏 QEMU 进程内存，从而导致拒绝服务或可能执行任意代码。已在 QEMU v11.0.3 和 v10.0.12 中修复。（CVE-2026-61475） 在 QEMU 的 USB 重定向 （usbredir） 实现 （hw/usb/redirect.c） 中，恶意的 usbredir 对等机可发送 ep_info 消息，在批量接收已经开始之后将 max_packet_size 重置为 0。这会导致多种可利用的情况：（1） usbredir_buffered_bulk_packet（） 中的无限循环，其中拆分循环递max_packet_size增 （0） 且从未进行，（2） usbredir_buffered_bulk_in_complete_ftdi（） 中的 SIGFPE（浮点异常）来自模数除零运算，以及 （3） usbredir_handle_buffered_bulk_in_data（） 中的 SIGFPE 在计算bytes_per_transfer时来自除零。恶意 USB 重定向对等机可利用此问题导致 QEMU 进程崩溃（拒绝服务）或造成其无限期挂起。已在 QEMU v11.0.3 和 v10.0.12 中修复。（CVE-2026-63319） 在 QEMU 的 9pfs （virtio-9p） 实现中，TXATTRCREATE 和 TXATTRWALK 请求处理程序不会限制同时打开的 xattr FID 的数量。每个 xattr FID 都会为扩展的属性值分配主机内存缓冲区。可直接访问 9p 服务器的恶意特权客户机用户可通过在不关闭 xattr FID 的情况下重复创建 xattr FID，来利用此漏洞，导致无限的主机内存消耗和最终的主机内存耗尽（拒绝服务）。此漏洞自 QEMU v0.14.0-rc0 开始存在，并已在 v11.0.3 和 v10.0.12 中得到修复。（CVE-2026-8348） 在管理程序主机环境（例如 QEMU）中，libslirp v4.9.2 之前版本内的 TCP 紧急数据处理 （sosendoob freedesktop.org 存在越界堆读取和整数下溢，允许特权客户机 VM 攻击者（根或CAP_NET_RAW）通过发送带有操纵的 URG 标志和紧急指针的特制 TCP 段，泄露数 GB 的敏感主机进程堆内存 （ti_urp）。（CVE-2026-9539）CVE-2026-61475 （）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートホストにインストールされている qemu のバージョンは、3.1.0-8より前のものです。したがって、ALAS2-2026-3866 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    QEMUのVNCサーバー実装(ui/vnc.c)では、set_pixel_format()関数がクライアントのSetPixelFormatメッセージからのred_max、green_max、blue_maxフィールドを適切に検証しません。これらのフィールドは 16 ビット値として受信されますが、内部では uint8_t として保存されます。悪意のある VNC クライアントは、255 を超える最大値(例:0x0100)を送信することができます。これは既存のゼロ以外の検証チェックを通過しますが、割り当て時に警告なしに 0 に切り捨て、Tight PNG パレットのエンコーディングパスでゼロ除算につながります。これにより、リモートの攻撃者が QEMU プロセスをクラッシュさせ、その QEMU インスタンスが提供するすべてのゲストのサービス拒否を引き起こす可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-15578)

    QEMUのUSBリダイレクト(usbredir)実装では、hw/usb/redirect.cのusbredir_buffered_bulk_packet()関数にメモリ解放後使用(Use After Free)の脆弱性があります。max-packet-size チャンクに分割されたマルチフラグメントバッファバルクパケットを処理する際に、最後のフラグメントだけが共有パーサーメモリ割り当てを所有します(free_on_destroy を介して)。bufp_alloc() がキューオーバーフローにより最終的なフラグメントを破棄した場合、すでにキューイングされている以前のフラグメントが内部ポインターを依然として保持している間に、バッキングバッファが解放されます。
    その後、後続のゲストバルクイントランスファルスは、解放されたヒープメモリから読み取ります。悪意のある、または危険にさらされている USB デバイス(または細工された usbredir ストリーム)がこの状態を発生させ、ヒープメモリからの情報漏洩または QEMU プロセスのクラッシュ(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v1.4.0-rc0以降存在し、v11.0.3とv10.0.12で修正されました。(CVE-2026-15705)

    ワーカースレッドで非可逆矩形を追跡するときの境界条件の不適切な計算により、さらなるワーカー状態を破損させたり、VncWorker構造体の向こうにある可能性のあるガードページをトリガーしたりする可能性があるOOB書き込みが発生します。これは、権限のないユーザーがゲストOSで画面解像度を慎重に選択したことによりトリガーされる可能性があります。(CVE-2026-48002)

    vnc_update_freq のループ境界が正しくないと、VNC stats 配列の最後の行と最後の列を超えて反復処理が行われます。適切に選択されたディメンションでは、これは、stats 配列が埋め込まれている VncDisplay 構造を超えてメモリにアクセスする OOB 読み取りになる可能性があります。

    これがガードページにヒットすると、ゲストクラッシュが発生する可能性があります。そうでない場合、VNC 周波数統計はガベージで更新されます。(CVE-2026-48003)

    QEMUのVNCサーバー実装(ui/vnc.c)では、非可逆タイルリフレッシュ中にダーティなビットマップ行をマークするとき、vnc_refresh_lossy_rect()関数に領域外書き込みの脆弱性があります。この関数は、各タイルのダーティビットマップのフル VNC_STAT_RECT (64) 行を無条件にマークします。表示の高さが 64 ピクセルの倍数でない場合、最後のタイル行は部分的なタイルであり、ループは vs->dirty[VNC_MAX_HEIGHT] 配列の終端を超えて書き込みます。たとえば、高さ 2160 ピクセルのディスプレイの場合、最後の stat タイルは y=2112 から始まり、64 行のループは 2112-2175行を書き込み、ダーティ ビットマップを超えて 16 行 (640 バイト) をオーバーフローして後続の VncState フィールドに書き込みます。このヒープバッファオーバーフローは、特定の表示解像度をネゴシエートして QEMU プロセスメモリを破損する悪意のある VNC クライアントによって悪用される可能性があり、サービス拒否や任意のコードの実行につながる可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。
    (CVE-2026-61475)

    QEMUのUSBリダイレクト(usbredir)実装(hw/usb/redirect.c)では、悪意のあるusbredirピアが、一括受信がすでに開始された後にmax_packet_sizeを0にリセットするep_infoメッセージを送信する可能性があります。これにより、複数の悪用可能な状態が発生します:(1)分割ループが(0)max_packet_sizeずつ増加して決して進行しないusbredir_buffered_bulk_packet()の無限ループ、(2)ゼロ除算によるusbredir_buffered_bulk_in_complete_ftdi()のSIGFPE(浮動小数点例外)、(3)bytes_per_transfer計算時のゼロ除算からのusbredir_handle_buffered_bulk_in_data()のSIGFPE。悪意のある USB リダイレクトピアがこれを悪用して、QEMU プロセスをクラッシュさせたり(サービス拒否)、無期限にハングさせたりする可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-63319)

    QEMU の 9pfs(virtio-9p)実装では、TXATTRCREATE および TXATTRWALK リクエストハンドラーが、同時に開かれる xattr FID の数を制限しません。各 xattr FID は、拡張された属性値に対してホストメモリバッファを割り当てます。直接 9p サーバーにアクセスできる悪意のある特権ゲストユーザーがこれを悪用し、xattr FID を閉じずに繰り返し作成することで、際限のないホストメモリ消費と、最終的にホストメモリの枯渇(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v0.14.0-rc0以降存在していました。v11.0.3およびv10.0.12で修正されました。(CVE-2026-8348)

    ハイパーバイザーホスト環境(QEMUなど)上のv4.9.2より前のlibslirpバージョン freedesktop.org TCP緊急データ処理(sosendoob)の領域外ヒープ読み取りと整数アンダーフローにより、権限のあるゲストVM攻撃者(rootまたはCAP_NET_RAW)が、操作されたURGフラグと緊急ポインターを使用して細工されたTCPセグメントを送信することにより、数ギガバイトの機密ホストプロセスヒープメモリを漏えいする可能性があります(ti_urp)。(CVE-2026-9539)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - QEMU の VNC サーバーの実装(ui/vnc.c)で、set_pixel_format() 関数がクライアントの SetPixelFormat メッセージからの red_max、green_max、blue_max フィールドを適切に検証していません。これらのフィールドは 16 ビット値として受信されますが、内部では uint8_t として保存されます。悪意のある VNC クライアントは、255 を超える最大値(例:0x0100)を送信することができます。これは既存のゼロ以外の検証チェックを通過しますが、割り当て時に警告なしに 0 に切り捨て、Tight PNG パレットのエンコーディングパスでゼロ除算につながります。これにより、リモートの攻撃者が QEMU プロセスをクラッシュさせ、その QEMU インスタンスが提供するすべてのゲストのサービス拒否を引き起こす可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-15578)QEMUのUSBリダイレクト(usbredir)実装では、hw/usb/redirect.cのusbredir_buffered_bulk_packet()関数にメモリ解放後使用(Use After Free)の脆弱性があります。max-packet-size チャンクに分割されたマルチフラグメントバッファバルクパケットを処理する際に、最後のフラグメントだけが共有パーサーメモリ割り当てを所有します(free_on_destroy を介して)。bufp_alloc() がキューオーバーフローにより最終的なフラグメントを破棄した場合、すでにキューイングされている以前のフラグメントが内部ポインターを依然として保持している間に、バッキングバッファが解放されます。その後、後続のゲストバルクイントランスファルスは、解放されたヒープメモリから読み取ります。悪意のある、または危険にさらされている USB デバイス(または細工された usbredir ストリーム)がこの状態を発生させ、ヒープメモリからの情報漏洩または QEMU プロセスのクラッシュ(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v1.4.0-rc0以降存在し、v11.0.3とv10.0.12で修正されました。(CVE-2026-15705)ワーカースレッドで非可逆矩形を追跡するときの境界条件の不適切な計算により、さらなるワーカー状態を破損させたり、VncWorker構造体の向こうにある可能性のあるガードページをトリガーしたりする可能性があるOOB書き込みが発生します。これは、権限のないユーザーがゲストOSで画面解像度を慎重に選択したことによりトリガーされる可能性があります。(CVE-2026-48002) vnc_update_freq のループバインドが正しくないと、VNC stats 配列の最後の行と最後の列を超えて反復処理が行われます。
    適切に選択されたディメンションでは、これは、stats 配列が埋め込まれている VncDisplay 構造を超えてメモリにアクセスする OOB 読み取りになる可能性があります。これがガードページにヒットすると、ゲストクラッシュが発生する可能性があります。そうでない場合、VNC 周波数統計はガベージで更新されます。(CVE-2026-48003)QEMUのVNCサーバー実装(ui/vnc.c)では、非可逆タイルリフレッシュ中にダーティビットマップ行をマークするとき、vnc_refresh_lossy_rect()関数に領域外書き込みの脆弱性があります。この関数は、各タイルのダーティビットマップのフル VNC_STAT_RECT (64) 行を無条件にマークします。表示の高さが 64 ピクセルの倍数でない場合、最後のタイル行は部分的なタイルであり、ループは vs->dirty[VNC_MAX_HEIGHT] 配列の終端を超えて書き込みます。たとえば、高さ 2160 ピクセルのディスプレイの場合、最後の stat タイルは y=2112 から始まり、64 行のループは 2112-2175行を書き込み、ダーティ ビットマップを超えて 16 行 (640 バイト) をオーバーフローして後続の VncState フィールドに書き込みます。このヒープバッファオーバーフローは、特定の表示解像度をネゴシエートして QEMU プロセスメモリを破損する悪意のある VNC クライアントによって悪用される可能性があり、サービス拒否や任意のコードの実行につながる可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-61475)QEMUのUSBリダイレクト(usbredir)実装(hw/usb/redirect.c)では、悪意のあるusbredirピアが一括受信がすでに開始された後にmax_packet_sizeを0にリセットするep_infoメッセージを送信する可能性があります。これにより、複数の悪用可能な状態が発生します:(1)分割ループが(0)max_packet_sizeずつ増加して決して進行しないusbredir_buffered_bulk_packet()の無限ループ、(2)ゼロ除算によるusbredir_buffered_bulk_in_complete_ftdi()のSIGFPE(浮動小数点例外)、(3)bytes_per_transfer計算時のゼロ除算からのusbredir_handle_buffered_bulk_in_data()のSIGFPE。悪意のある USB リダイレクトピアがこれを悪用して、QEMU プロセスをクラッシュさせたり(サービス拒否)、無期限にハングさせたりする可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-63319) QEMU の 9pfs(virtio-9p)実装では、TXATTRCREATE および TXATTRWALK リクエストハンドラーが、同時に開かれる xattr FID の数を制限しません。各 xattr FID は、拡張された属性値に対してホストメモリバッファを割り当てます。直接 9p サーバーにアクセスできる悪意のある特権ゲストユーザーがこれを悪用し、xattr FID を閉じずに繰り返し作成することで、際限のないホストメモリ消費と、最終的にホストメモリの枯渇(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v0.14.0-rc0以降存在していました。v11.0.3およびv10.0.12で修正されました。(CVE-2026-8348)ハイパーバイザーホスト環境(QEMUなど)上のv4.9.2より前のlibslirpバージョンのTCP緊急データ処理(sosendoob)での領域外ヒープ読み取り freedesktop.org 整数アンダーフローにより、権限のあるゲストVM攻撃者(rootまたはCAP_NET_RAW)が、操作されたURGフラグと緊急ポインターを使用して細工されたTCPセグメントを送信することにより、数ギガバイトの機密ホストプロセスヒープメモリを漏えいする可能性があります(ti_urp)。(CVE-2026-9539)(CVE-2026-61475)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The version of qemu installed on the remote host is prior to 3.1.0-8. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2-2026-3866 advisory.

    In QEMU's VNC server implementation (ui/vnc.c), the set_pixel_format() function does not properly validate     the red_max, green_max, and blue_max fields from a client'sSetPixelFormat message. These fields are     received as 16-bit values but are stored internally as uint8_t. A malicious VNC client can send a max     value above 255 (e.g., 0x0100) whichpasses the existing non-zero validation check but silently truncates     to 0 upon assignment, leading to a division by zero in the Tight PNG palette encoding path. This allows a     remoteattacker to crash the QEMU process, resulting in a denial of service for all guests served by that     QEMU instance. Fixed in QEMU v11.0.3 and v10.0.12. (CVE-2026-15578)

    In QEMU's USB redirection (usbredir) implementation, a use-after-free vulnerability exists in the     usbredir_buffered_bulk_packet() function in hw/usb/redirect.c. When processing amulti-fragment buffered     bulk packet that is split into max-packet-size chunks, only the final fragment owns the shared parser     memory allocation (via free_on_destroy). If bufp_alloc()drops the final fragment due to queue overflow, it     frees the backing buffer while earlier fragments already queued still hold interior pointers into it.
    Subsequent guest bulk-INtransfers then read from freed heap memory. A malicious or compromised USB device     (or a crafted usbredir stream) could trigger this condition, potentially leading to informationdisclosure     from heap memory or a QEMU process crash (denial of service). This vulnerability has existed since QEMU     v1.4.0-rc0 and is fixed in v11.0.3 and v10.0.12. (CVE-2026-15705)

    Incorrect calculation of the boundary condition when tracking lossy rectangles in the worker thread will     result in an OOB write which can corrupt further worker state, and/or trigger any guard pages that may lie     beyond the VncWorker struct. This can be triggered through careful choice of the display resolution in the     guest OS by an unprivileged user. (CVE-2026-48002)

    Incorrect loop bounds in vnc_update_freq result in iterating past the last row and past the last column in     the VNC stats array. With suitably chosen dimensions this could be a OOB read that accesses memory beyond     the VncDisplay struct that the stats array is embedded in.

    Should this hit a guard page, it could trigger a guest crash. If it does not, then the VNC frequency stats     will be updated with garbage. (CVE-2026-48003)

    In QEMU's VNC server implementation (ui/vnc.c), the vnc_refresh_lossy_rect() function contains an out-of-     bounds write vulnerability when marking dirty bitmap rows during lossy tilerefresh. The function     unconditionally marks a full VNC_STAT_RECT (64) rows of the dirty bitmap for each tile. When the display     height is not a multiple of 64 pixels, the last tilerow is a partial tile and the loop writes past the end     of the vs->dirty[VNC_MAX_HEIGHT] array. For example, with a 2160-pixel-high display, the last stat tile     starts at y=2112 andthe 64-row loop writes rows 2112-2175, overflowing 16 rows (640 bytes) past the dirty     bitmap into subsequent VncState fields. This heap buffer overflow could potentially be exploitedby a     malicious VNC client that negotiates a specific display resolution to corrupt QEMU process memory, leading     to denial of service or possibly arbitrary code execution. Fixed inQEMU v11.0.3 and v10.0.12.
    (CVE-2026-61475)

    In QEMU's USB redirection (usbredir) implementation (hw/usb/redirect.c), a malicious usbredir peer can     send an ep_info message that resets max_packet_size to 0 after bulk receivinghas already started. This     leads to multiple exploitable conditions: (1) an infinite loop in usbredir_buffered_bulk_packet() where     the splitting loop increments by max_packet_size (0) and never progresses, (2) a SIGFPE (floating point     exception) in usbredir_buffered_bulk_in_complete_ftdi() from a modulo-by-zero operation, and (3) a SIGFPE     in usbredir_handle_buffered_bulk_in_data() from a division-by-zero when computing bytes_per_transfer. A     malicious USB redirection peer can exploit this to crash the QEMU process (denial of service) orcause it     to hang indefinitely. Fixed in QEMU v11.0.3 and v10.0.12. (CVE-2026-63319)

    In QEMU's 9pfs (virtio-9p) implementation, the TXATTRCREATE and TXATTRWALK request handlers do not limit     the number of simultaneously open xattr FIDs. Each xattr FID allocates ahost memory buffer for the     extended attribute value. A malicious privileged guest user with direct 9p server access can exploit this     by repeatedly creating xattr FIDs without closingthem, leading to unbounded host memory consumption and     eventual host memory exhaustion (denial of service). This vulnerability has existed since QEMU v0.14.0-rc0     and is fixed inv11.0.3 and v10.0.12. (CVE-2026-8348)

    An out-of-bounds heap read and integer underflow in the TCP urgent data handling (sosendoob) in     freedesktop.org libslirp version before v4.9.2 on hypervisor host environments (e.g., QEMU) allows a     privileged guest VM attacker (root or CAP_NET_RAW) to leak gigabytes of sensitive host-process heap memory     via sending crafted TCP segments with manipulated URG flags and urgent pointers (ti_urp). (CVE-2026-9539)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In QEMU's VNC server implementation (ui/vnc.c), the set_pixel_format() function does not properly validate     the red_max, green_max, and blue_max fields from a client'sSetPixelFormat message. These fields are     received as 16-bit values but are stored internally as uint8_t. A malicious VNC client can send a max     value above 255 (e.g., 0x0100) whichpasses the existing non-zero validation check but silently truncates     to 0 upon assignment, leading to a division by zero in the Tight PNG palette encoding path. This allows a     remoteattacker to crash the QEMU process, resulting in a denial of service for all guests served by that     QEMU instance. Fixed in QEMU v11.0.3 and v10.0.12. (CVE-2026-15578)  In QEMU's USB redirection (usbredir)     implementation, a use-after-free vulnerability exists in the usbredir_buffered_bulk_packet() function in     hw/usb/redirect.c. When processing amulti-fragment buffered bulk packet that is split into max-packet-size     chunks, only the final fragment owns the shared parser memory allocation (via free_on_destroy). If     bufp_alloc()drops the final fragment due to queue overflow, it frees the backing buffer while earlier     fragments already queued still hold interior pointers into it. Subsequent guest bulk-INtransfers then read     from freed heap memory. A malicious or compromised USB device (or a crafted usbredir stream) could trigger     this condition, potentially leading to informationdisclosure from heap memory or a QEMU process crash     (denial of service). This vulnerability has existed since QEMU v1.4.0-rc0 and is fixed in v11.0.3 and     v10.0.12. (CVE-2026-15705)  Incorrect calculation of the boundary condition when tracking lossy rectangles     in the worker thread will result in an OOB write which can corrupt further worker state, and/or trigger     any guard pages that may lie beyond the VncWorker struct. This can be triggered through careful choice of     the display resolution in the guest OS by an unprivileged user. (CVE-2026-48002)  Incorrect loop bounds in     vnc_update_freq result in iterating past the last row and past the last column in the VNC stats array.
    With suitably chosen dimensions this could be a OOB read that accesses memory beyond the VncDisplay struct     that the stats array is embedded in.  Should this hit a guard page, it could trigger a guest crash. If it     does not, then the VNC frequency stats will be updated with garbage. (CVE-2026-48003)  In QEMU's VNC     server implementation (ui/vnc.c), the vnc_refresh_lossy_rect() function contains an out-of-bounds write     vulnerability when marking dirty bitmap rows during lossy tilerefresh. The function unconditionally marks     a full VNC_STAT_RECT (64) rows of the dirty bitmap for each tile. When the display height is not a     multiple of 64 pixels, the last tilerow is a partial tile and the loop writes past the end of the     vs->dirty[VNC_MAX_HEIGHT] array. For example, with a 2160-pixel-high display, the last stat tile starts at     y=2112 andthe 64-row loop writes rows 2112-2175, overflowing 16 rows (640 bytes) past the dirty bitmap     into subsequent VncState fields. This heap buffer overflow could potentially be exploitedby a malicious     VNC client that negotiates a specific display resolution to corrupt QEMU process memory, leading to denial     of service or possibly arbitrary code execution. Fixed inQEMU v11.0.3 and v10.0.12. (CVE-2026-61475)  In     QEMU's USB redirection (usbredir) implementation (hw/usb/redirect.c), a malicious usbredir peer can send     an ep_info message that resets max_packet_size to 0 after bulk receivinghas already started. This leads to     multiple exploitable conditions: (1) an infinite loop in usbredir_buffered_bulk_packet() where the     splitting loop increments by max_packet_size (0) and never progresses, (2) a SIGFPE (floating point     exception) in usbredir_buffered_bulk_in_complete_ftdi() from a modulo-by-zero operation, and (3) a SIGFPE     in usbredir_handle_buffered_bulk_in_data() from a division-by-zero when computing bytes_per_transfer. A     malicious USB redirection peer can exploit this to crash the QEMU process (denial of service) orcause it     to hang indefinitely. Fixed in QEMU v11.0.3 and v10.0.12. (CVE-2026-63319)  In QEMU's 9pfs (virtio-9p)     implementation, the TXATTRCREATE and TXATTRWALK request handlers do not limit the number of simultaneously     open xattr FIDs. Each xattr FID allocates ahost memory buffer for the extended attribute value. A     malicious privileged guest user with direct 9p server access can exploit this by repeatedly creating xattr     FIDs without closingthem, leading to unbounded host memory consumption and eventual host memory exhaustion     (denial of service). This vulnerability has existed since QEMU v0.14.0-rc0 and is fixed inv11.0.3 and     v10.0.12. (CVE-2026-8348)  An out-of-bounds heap read and integer underflow in the TCP urgent data     handling (sosendoob) in freedesktop.org libslirp version before v4.9.2 on hypervisor host environments     (e.g., QEMU) allows a privileged guest VM attacker (root or CAP_NET_RAW) to leak gigabytes of sensitive     host-process heap memory via sending crafted TCP segments with manipulated URG flags and urgent pointers     (ti_urp). (CVE-2026-9539) (CVE-2026-61475)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
459502	Echo: qemu: security update to 1:10.0.12+ds-0+deb13u1	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/2/2026	medium
459502	Echo: qemu: security update to 1:10.0.12+ds-0+deb13u1	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/2/2026	medium
337242	Amazon Linux 2：qemu， --advisory ALAS2-2026-3866 （ALAS-2026-3866）	Nessus	Amazon Linux Local Security Checks	8/18/2026	8/18/2026	medium
337242	Amazon Linux 2：qemu， --advisory ALAS2-2026-3866 （ALAS-2026-3866）	Nessus	Amazon Linux Local Security Checks	8/18/2026	8/18/2026	medium
330024	Linux Distros 未修補弱點：CVE-2026-61475	Nessus	Misc.	7/26/2026	9/12/2026	high
330024	Linux Distros 未修补的漏洞：CVE-2026-61475	Nessus	Misc.	7/26/2026	9/12/2026	high
337242	Amazon Linux 2:qemu、 --advisory ALAS2-2026-3866 (ALAS-2026-3866)	Nessus	Amazon Linux Local Security Checks	8/18/2026	8/18/2026	medium
330024	Linux Distros のパッチ未適用の脆弱性: CVE-2026-61475	Nessus	Misc.	7/26/2026	9/12/2026	high
337242	Amazon Linux 2 : qemu, --advisory ALAS2-2026-3866 (ALAS-2026-3866)	Nessus	Amazon Linux Local Security Checks	8/18/2026	8/18/2026	medium
330024	Linux Distros Unpatched Vulnerability : CVE-2026-61475	Nessus	Misc.	7/26/2026	9/12/2026	high

Detections

Analytics

Plugins Search

medium

medium

medium

medium

high

high

medium

high

medium

high