Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ipv6： seg6：清除 IPIP 解封裝上的 IPv4 控制區塊 End.DX4 和 End.DT4 透過 decap_and_validate（） 解封裝 IPv4 封包，並將其直接傳送至 IPv4 路由。因此，內部封包會繞過 ip_rcv_core（），這通常會在 IPv4 解譯 skb->cb 之前清除 IPCB。skb 會改為保留來自外部封包的 IP6CB 資料。IP6CB 和 IPCB 使用相同的 skb->cb 存儲，因此 IP6CB（skb）->lastopt 與 IPCB（skb）->opt.optlen 和 srr 重疊，而 IP6CB（skb）->nhoff 重疊 rr 和 ts。傳送者可以使用有效的外部擴充標頭鏈將過時的 optlen 位元組設為非零。生產者會在 40 位元組 IPv6 標頭之後和區段路由標頭之前放置一個 8 位元組的 Destination Options 標頭。ipv6_destopt_rcv（） 會在 lastopt 和 nhoff 中記錄寄件者控制的目的地選項位移，並將其設定為 40。因此，在重現的 little-endian x86-64 核心上，IPv4 看到 optlen = 40 和 rr = 40。當 optlen 為零時，tcp_v4_save_options（） 和 __ip_options_echo（） 都會跳過選項複製。
    此處的 optlen 為 40，因此 TCP SYN 路徑為 40 位元組的選項資料和呼叫配置空間
    __ip_options_echo（）。過時的 rr 值會讓函式讀取內部封包位元組 41 作為記錄路由選項長度。複製者將發送者控制的位元組設定為 255，因此 __ip_options_echo（） 將 255 位元組複製到 40 位元組的選項資料區域中。在未修補的 v7.2-rc5 核心上，分別產生 End.DX4 和 End.DT4 重現程式： 錯誤：KASAN：大小為 255 的 __ip_options_echo（） 寫入中出現 slab-out-of-bounds 相關的 End.DX4 呼叫路徑為： __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dx4_finish input_action_end_dx4相關 End.DT4 呼叫路徑為：
    __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dt4 tcp_v4_save_options（） 內嵌到 tcp_v4_route_req（） 路徑中，因此不會顯示為單獨的框架。當 decap_and_validate（） 處理IPPROTO_IPIP時，儲存 IP6CB 的輸入介面，清除 IPCB，並恢復儲存的值。在常見的解封裝路徑中執行此動作涵蓋 End.DX4、End.DT4 和 End。DT46的 IPv4 臂。使用 IP6CB（skb）->iif 而不是 skb->skb_iif。這些動作會在 l3mdev 處理之後執行，可將 skb_iif 替換為 L3 主機;IP6CB iif 仍會記錄在 IPv6 輸入時設定的接收介面。（CVE-2026-80840）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipv6：seg6：清除 IPIP 解封装上的 IPv4 控制块 End.DX4 和 End.DT4 通过 decap_and_validate（） 解封装 IPv4 数据包，并将其直接发送到 IPv4 路由。因此，内部数据包绕过 ip_rcv_core（），通常会在 IPv4 解释 skb->cb 之前清除 IPCB。skb 反而会保留来自外部数据包的 IP6CB 数据。IP6CB 和 IPCB 使用相同的 skb->cb 存储，因此 IP6CB（skb）->lastopt 与 IPCB（skb）->opt.optlen 和 srr 重叠，而 IP6CB（skb）->nhoff 重叠 rr 和 ts。发送方可以通过有效的外部扩展标头链使过时的 optlen 字节变为非零。复制器将一个 8 字节的 Destination Options 标头紧接在 40 字节的 IPv6 标头之后和 Segment Routing 标头之前。ipv6_destopt_rcv（） 在 lastopt 和 nhoff 中记录发件人控制的目标选项偏移量，将其设置为 40。因此，在重现的小端 x86-64 内核上，IPv4 会看到 optlen = 40 且 rr = 40。optlen 为零时，tcp_v4_save_options（） 和 __ip_options_echo（） 跳过选项复制。
    此处optlen为40，因此TCP SYN路径为40字节的选项数据和调用分配空间
    __ip_options_echo（）。过时的 rr 值使该函数将内部数据包字节 41 作为记录路由选项长度进行读取。复制器将该发送者控制的字节设为 255，因此 __ip_options_echo（） 将 255 字节复制到 40 字节的选项数据区域。未安装修补程序的 v7.2-rc5 内核上的独立 End.DX4 和 End.DT4 复制程序均产生：缺陷：KASAN：大小为 255 的 __ip_options_echo（） 写入中的 slab-out-of-bound 相关的 End.DX4 调用路径为：__ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dx4_finish input_action_end_dx4相关的 End.DT4 调用路径为：
    __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dt4 tcp_v4_save_options（） 内联到 tcp_v4_route_req（） 路径中，因此不会显示为单独的帧。当 decap_and_validate（） 处理IPPROTO_IPIP时，保存 IP6CB 的入口接口，清除 IPCB，并恢复保存的值。在通用解封装路径中执行此操作涵盖 End.DX4、End.DT4 和 End。”DT46的 IPv4 arm。使用 IP6CB（skb）->iif 而非 skb->skb_iif。这些操作在 l3mdev 处理之后运行，可将skb_iif替换为 L3 主控端;IP6CB iif 仍会记录在 IPv6 入口处设置的接收接口。（CVE-2026-80840）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ipv6:seg6:IPIP の非カプセル化の IPv4 コントロールブロックをクリアします End.DX4 および End.DT4 は、IPv4 パケットを decap_and_validate() を通じてカプセル化解除し、それを IPv4 ルーティングに直接送信します。そのため、内部パケットは ip_rcv_core() をバイパスします。これにより通常、IPv4 が skb->cb を解釈する前に IPCB が消去されます。skb は、代わりに外部パケットからの IP6CB データを保持します。IP6CB と IPCB は同じ skb->cb ストレージを使用するため、IP6CB(skb)->lastopt は IPCB(skb)->optlen と srr をオーバーラップし、IP6CB(skb)->nhoff は rr と ts をオーバーラップします。送信者は、有効な外側の拡張ヘッダーチェーンで、古い optlen バイトをゼロ以外にすることができます。リプロデューサーは、8 バイトの Destination Options ヘッダーを、40 バイトの IPv6 ヘッダーの直後、Segment Routing ヘッダーの前に配置します。ipv6_destopt_rcv() は、送信者制御の宛先オプションのオフセットを lastopt と nhoff の両方に記録し、それらを 40 に設定します。このため、再現されたリトルエンディアン x86-64 カーネルでは、IPv4 は optlen = 40 と rr = 40 と見なします。optlen がゼロの場合、tcp_v4_save_options() と __ip_options_echo() の両方がオプションのコピーをスキップします。
    ここでは、optlen は 40 であるため、TCP SYN パスは 40 バイトのオプションデータおよび呼び出しにスペースを割り当てます
    __ip_options_echo()。古い rr 値により、その関数はレコードルートオプションの長さとして内部パケットバイト 41 を読み込みます。再生者がその送信者制御のバイトを 255 に設定するため、__ip_options_echo() は 255 バイトを 40 バイトのオプションデータ領域にコピーします。パッチ未適用の v7.2-rc5 カーネル上の別々の End.DX4 および End.DT4 リプロデューサーは両方とも以下を生成していました。 バグ: KASAN:サイズ 255 の書き込みの __ip_options_echo() におけるスラブの領域外 関連する End.DX4 呼び出しパスは以下の通りです: __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dx4_finish input_action_end_dx4関連する End.DT4 呼び出しパスは次のとおりです。
    __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dt4 tcp_v4_save_options() は tcp_v4_route_req() パスにインライン化されているため、別のフレームとして表示されません。decap_and_validate()がIPPROTO_IPIPを処理するとき、IP6CBからの入力インターフェイスを保存し、IPCBをクリアし、保存した値を復元します。共通の非カプセル化パスでこれを行うと、End.DX4、End.DT4、および End.DT46」がカバーされます。の IPv4 arm。skb->skb_iifではなくIP6CB(skb)->iifを使用します。これらのアクションは l3mdev 処理の後に実行され、skb_iif を L3 マスターに置き換えることができます。IP6CB iif は、IPv6 イングレスに設定された受信インターフェイスをまだ記録します。(CVE-2026-80840)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ipv6: seg6: clear IPv4 control block on IPIP decapsulation End.DX4 and End.DT4 decapsulate an IPv4 packet     through decap_and_validate() and send it directly to IPv4 routing. The inner packet therefore bypasses     ip_rcv_core(), which normally clears IPCB before IPv4 interprets skb->cb. The skb instead retains IP6CB     data from the outer packet. IP6CB and IPCB use the same skb->cb storage, so IP6CB(skb)->lastopt overlaps     IPCB(skb)->opt.optlen and srr, while IP6CB(skb)->nhoff overlaps rr and ts. The sender can make the stale     optlen byte nonzero with a valid outer extension-header chain. The reproducers put an eight-byte     Destination Options header immediately after the 40-byte IPv6 header and before the Segment Routing     Header. ipv6_destopt_rcv() records the sender-controlled Destination Options offset in both lastopt and     nhoff, setting them to 40. On the reproduced little-endian x86-64 kernel, IPv4 therefore sees optlen = 40     and rr = 40. Both tcp_v4_save_options() and __ip_options_echo() skip option copying when optlen is zero.
    Here optlen is 40, so the TCP SYN path allocates room for 40 bytes of option data and calls
    __ip_options_echo(). The stale rr value makes that function read inner packet byte 41 as the Record Route     option length. The reproducers set that sender-controlled byte to 255, so __ip_options_echo() copies 255     bytes into the 40-byte option-data area. Separate End.DX4 and End.DT4 reproducers on the unpatched     v7.2-rc5 kernel both produced: BUG: KASAN: slab-out-of-bounds in __ip_options_echo() Write of size 255 The     relevant End.DX4 call path is: __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request     tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish     ip_local_deliver input_action_end_dx4_finish input_action_end_dx4 The relevant End.DT4 call path is:
    __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process     tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver     input_action_end_dt4 tcp_v4_save_options() is inlined into the tcp_v4_route_req() path, so it does not     appear as a separate frame. When decap_and_validate() handles IPPROTO_IPIP, save the ingress interface     from IP6CB, clear IPCB, and restore the saved value. Doing this in the common decapsulation path covers     End.DX4, End.DT4, and End.DT46's IPv4 arm. Use IP6CB(skb)->iif rather than skb->skb_iif. These actions run     after l3mdev processing, which can replace skb_iif with the L3 master; IP6CB iif still records the     receiving interface set at IPv6 ingress. (CVE-2026-80840)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
342967	Linux Distros 未修補弱點：CVE-2026-80840	Nessus	Misc.	9/4/2026	9/4/2026	critical
342967	Linux Distros 未修补的漏洞：CVE-2026-80840	Nessus	Misc.	9/4/2026	9/4/2026	critical
342967	Linux Distros のパッチ未適用の脆弱性: CVE-2026-80840	Nessus	Misc.	9/4/2026	9/4/2026	critical
342967	Linux Distros Unpatched Vulnerability : CVE-2026-80840	Nessus	Misc.	9/4/2026	9/4/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical