Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ALSA：FCP：不复制出未初始化的 init 响应 fcp_ioctl_init（） 使用 kmalloc（） 分配其响应缓冲区并将整个缓冲区复制回用户空间：buf_size = init.step0_resp_size + init.step2_resp_size;void *resp __free（kfree） = kmalloc（buf_size， GFP_KERNEL）;...if （copy_to_user（arg->resp， resp， buf_size）） 返回 -EFAULT;没有任何内容会清除缓冲区，其前导 step0_resp_size 字节的唯一写入器是 step-0 控制传输： err = snd_usb_ctl_msg（dev， usb_rcvctrlpipe（dev， 0）， FCP_USB_REQ_STEP0， USB_RECIP_INTERFACE |USB_TYPE_CLASS |USB_DIR_IN， 0， private->bInterfaceNumber， step0_resp， private->step0_resp_size）;if （err < 0） 返回错误;
    usb_fill_control_urb（） 未设置URB_SHORT_NOT_OK，因此短或零长度数据阶段以状态 0 完成，而 snd_usb_ctl_msg（） 返回小actual_length。唯一的检查是错误< 0，因此短传输被视为成功。snd_usb_ctl_msg（） 无条件地将完整大小复制回来： buf = kmemdup（data， size， GFP_KERNEL）;...memcpy（data， buf， size）;因此，设备从未写入的字节会原封不动地还原为 resp 并复制到用户空间。step0_resp_size 和 step2_resp_size 各自仅验证到 1..255，因此调用方还会选择 slab 缓存，从 kmalloc-8 到 kmalloc-512。在 7.2.0-rc5 （arm64） 上，设备应答步骤 0，具有零长度数据级，s0 = s2 = 255：# init_on_alloc 关闭，无喷雾 step0 窗口 [0,255）：nonzero=94/255 000：00 80 60 06 00 00 ff ff 18 00 00 00 57 01 ea 01 010：08 78 22 13 00 00 ff ff ff a8 c4 5f 80 00 80 ff ff # 相同内核， kmalloc-512 预植入 8 字节标签 step0 窗口 [0,255）：nonzero=219/255 tagbytes=232 # 相同的运行，init_on_alloc=1 step0 窗口 [0,255）：nonzero=0/255 tagbytes=0 # 所有三个运行 step2 窗口 [255,510）：device words matched=62/62 a8 c4 5f 80 00 80 ff ff 是小端内核文本地址 ffff8000805fc4a8。步骤 2 窗口不受影响，因此披露恰好是步骤 0 区域。将缓冲区归零，并要求 step-0 传输传递完整的 step0_resp_size 字节，以便将短数据阶段报告为错误。
    由 XBOW 发现，由 Baul Lee <baul.lee@xbow.com> 分类 （CVE-2026-80970）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ALSA： FCP：不要複製出未初始化的 init 回應 fcp_ioctl_init（） 使用 kmalloc（） 分配其回應緩衝區，並將整個緩衝區複製回使用者空間：buf_size = init.step0_resp_size + init.step2_resp_size;void *resp __free（kfree） = kmalloc（buf_size， GFP_KERNEL）;...if （copy_to_user（arg->resp， resp， buf_size）） return -EFAULT;沒有任何內容會清除緩衝區，其前導 step0_resp_size 位元組的唯一寫入器是 step-0 控制傳輸： err = snd_usb_ctl_msg（dev， usb_rcvctrlpipe（dev， 0）， FCP_USB_REQ_STEP0， USB_RECIP_INTERFACE |USB_TYPE_CLASS |USB_DIR_IN， 0， private->bInterfaceNumber， step0_resp， private->step0_resp_size）;if （err < 0） 傳回 err;
    usb_fill_control_urb（） 不會設定URB_SHORT_NOT_OK，因此短或零長度資料階段會以狀態 0 完成，且 snd_usb_ctl_msg（） 會傳回小actual_length。唯一的檢查是錯誤< 0，因此短傳輸會被視為成功。snd_usb_ctl_msg（） 無條件地複製回完整大小：buf = kmemdup（data， size， GFP_KERNEL）;...memcpy（data， buf， size）;因此，裝置從未寫入的位元組會原封不動地還原為 resp 並複製到使用者空間。step0_resp_size 和 step2_resp_size 分別僅驗證為 1..255，因此呼叫端也會挑選 slab 快取，從 kmalloc-8 到 kmalloc-512。在 7.2.0-rc5 （arm64） 上，裝置以零長度資料階段應答步驟 0，s0 = s2 = 255：# init_on_alloc關閉，無噴霧步驟 0 視窗 [0,255）：nonzero=94/255 000：00 80 60 06 00 00 ff ff 18 00 00 00 57 01 EA 01 010：08 78 22 13 00 00 ff ff ff a8 c4 5f 80 00 80 ff ff # 相同的核心， KMALLOC-512 預先植入 8 位元組標籤 step0 視窗 [0,255）： nonzero=219/255 tagbytes=232 # 相同的執行，init_on_alloc=1 step0 視窗 [0,255）： nonzero=0/255 tagbytes=0 # 所有三次執行 step2 視窗 [255,510）： 裝置字 matched=62/62 a8 c4 5f 80 00 80 ff ff 是 little-endian 核心文字位址 ffff8000805fc4a8。步驟 2 視窗不受影響，因此揭露恰好是步驟 0 區域。將緩衝區歸零，並要求步驟 0 傳輸以傳遞完整的 step0_resp_size 位元組，以便將短資料階段報告為錯誤。
    由 XBOW 發現，由 Baul Lee <baul.lee@xbow.com> 分類 （CVE-2026-80970）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ALSA:FCP:初期化されていない init 応答をコピーしない fcp_ioctl_init() が応答バッファを kmalloc() で割り当て、バッファ全体をユーザー空間にコピーします:buf_size = init.step0_resp_size + init.step2_resp_size;無効 *resp __free(kfree) = kmalloc(buf_size, GFP_KERNEL);...if (copy_to_user(arg->resp, resp, buf_size)) return -EFAULT;バッファをクリアするものは何もなく、その先頭の step0_resp_size バイトの唯一の書き込み元は step-0 コントロール転送です: err = snd_usb_ctl_msg(dev, usb_rcvctrlpipe(dev, 0), FCP_USB_REQ_STEP0, USB_RECIP_INTERFACE |USB_TYPE_CLASS |USB_DIR_IN、0、private->bInterfaceNumber、step0_resp、private->step0_resp_size);if (err < 0) return err;
    usb_fill_control_urb() はURB_SHORT_NOT_OKを設定しないため、短いまたはゼロレングスのデータステージはステータス 0 で完了し、snd_usb_ctl_msg() は小さなactual_lengthを返します。チェックは err < 0 のみであるため、短い転送は成功として受け入れられます。snd_usb_ctl_msg() は無条件にフルサイズをコピーします: buf = kmemdup(data, size, GFP_KERNEL);...memcpy(データ、バッファ、サイズ);したがって、デバイスが書き込んだことのないバイトは、変更されずに resp に復元され、ユーザー空間にコピーされます。step0_resp_size と step2_resp_size はそれぞれ 1..255 までしか検証されないため、呼び出し元は kmalloc-8 から kmalloc-512 までのスラブキャッシュもピックアップします。7.2.0-rc5(arm64)で、デバイスがゼロレングスのデータステージでステップ0に応答、s0 = s2 = 255:# init_on_allocオフ、スプレーなしstep0ウィンドウ[0,255):nonzero=94/255 000:00 80 60 06 00 00 ff ff 18 00 00 00 57 01 ea 01 010:08 78 22 13 00 00 ff ff ff a8 c4 5f 80 00 80 ff ff #同じカーネル、 kmalloc-512 に 8 バイトのタグをあらかじめシード step0 ウィンドウ [0,255): nonzero=219/255 tagbytes=232 # 同一の実行、init_on_alloc=1 step0 ウィンドウ [0,255): nonzero=0/255 tagbytes=0 # 3 つの実行すべて step2 ウィンドウ [255,510): 一致するデバイスワード=62/62 a8 c4 5f 80 00 80 ff ff はリトルエンディアンカーネルのテキストアドレス ffff8000805fc4a8 です。ステップ 2 ウィンドウは影響を受けないため、漏洩はまさにステップ 0 領域です。バッファをゼロにし、ステップ 0 転送を要求して完全な step0_resp_size バイトを配信する必要があるため、短いデータステージがエラーとして報告されます。
    XBOW により発見され、Baul Lee <baul.lee@xbow.com> 氏によりトリアージされました(CVE-2026-80970)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ALSA: FCP: do not copy out an uninitialised init response fcp_ioctl_init() allocates its response buffer     with kmalloc() and copies the whole buffer back to userspace: buf_size = init.step0_resp_size +     init.step2_resp_size; void *resp __free(kfree) = kmalloc(buf_size, GFP_KERNEL); ... if     (copy_to_user(arg->resp, resp, buf_size)) return -EFAULT; Nothing clears the buffer, and the only writer     of its leading step0_resp_size bytes is the step-0 control transfer: err = snd_usb_ctl_msg(dev,     usb_rcvctrlpipe(dev, 0), FCP_USB_REQ_STEP0, USB_RECIP_INTERFACE | USB_TYPE_CLASS | USB_DIR_IN, 0,     private->bInterfaceNumber, step0_resp, private->step0_resp_size); if (err < 0) return err;
    usb_fill_control_urb() does not set URB_SHORT_NOT_OK, so a short or zero-length data stage completes with     status 0 and snd_usb_ctl_msg() returns a small actual_length. The only check is err < 0, so a short     transfer is accepted as success. snd_usb_ctl_msg() copies the full size back unconditionally: buf =     kmemdup(data, size, GFP_KERNEL); ... memcpy(data, buf, size); Bytes the device never wrote are therefore     restored into resp unchanged and copied to userspace. step0_resp_size and step2_resp_size are each     validated only to 1..255, so the caller also picks the slab cache, from kmalloc-8 up to kmalloc-512. On     7.2.0-rc5 (arm64), device answering step 0 with a zero-length data stage, s0 = s2 = 255: # init_on_alloc     off, no spray step0 window [0,255): nonzero=94/255 000: 00 80 60 06 00 00 ff ff 18 00 00 00 57 01 ea 01     010: 08 78 22 13 00 00 ff ff a8 c4 5f 80 00 80 ff ff # same kernel, kmalloc-512 pre-seeded with an 8-byte     tag step0 window [0,255): nonzero=219/255 tagbytes=232 # identical run, init_on_alloc=1 step0 window     [0,255): nonzero=0/255 tagbytes=0 # all three runs step2 window [255,510): device words matched=62/62 a8     c4 5f 80 00 80 ff ff is the little-endian kernel text address ffff8000805fc4a8. The step-2 window is     unaffected, so the disclosure is exactly the step-0 region. Zero the buffer, and require the step-0     transfer to deliver the full step0_resp_size bytes so a short data stage is reported as an error.
    Discovered by XBOW, triaged by Baul Lee <baul.lee@xbow.com> (CVE-2026-80970)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
345261	Linux Distros 未修补的漏洞：CVE-2026-80970	Nessus	Misc.	9/12/2026	9/14/2026	medium
345261	Linux Distros 未修補弱點：CVE-2026-80970	Nessus	Misc.	9/12/2026	9/14/2026	medium
345261	Linux Distros のパッチ未適用の脆弱性: CVE-2026-80970	Nessus	Misc.	9/12/2026	9/14/2026	medium
345261	Linux Distros Unpatched Vulnerability : CVE-2026-80970	Nessus	Misc.	9/12/2026	9/14/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium