Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ocfs2：dlm_migrate_request_handler修補程式系列中綁定的 namelen ocfs2/dlm：o2dlm 中綁定的對等控制長度。o2dlm 接收處理常式會信任來自網路的 u8 長度和計數欄位，而不會限制它們，因此 DLM 網域中的節點可能會因訊息格式錯誤而損毀或錯誤任何其他節點。三個缺陷： - dlm_migrate_request_handler（） 將未檢查的 migrate->namelen 傳遞給 dlm_init_mle（），後者 memcpy（） 將其放入 o2dlm_mle slab 物件的 32 位元組 mname[]：最多 ~215 個攻擊者控制位元組的堆積越界寫入。- dlm_mig_lockres_handler（） 將未檢查的 mres->lockname_len 傳遞給 dlm_init_lockres（），後者 memcpy（） 將其放入 32 位元組的 o2dlm_lockname slab 物件：最多 ~223 位元組的堆積越界寫入。- 相同的處理常式信任 mres->num_locks，而不檢查訊息是否足夠大以容納那麼多項目，因此 dlm_process_recovery_data（） 遍歷 mres->ml[] 經過 kmalloc（data_len） 副本並跳閘BUG_ON （以錯誤結尾的越界讀取）。其他 o2dlm 接收處理常式已拒絕過大的名稱;自從新增 DLM 以來，移轉和復原處理常式就省略了它 （請參閱修正標籤）。補丁 1 邊界 namelen;修補程式 2 會驗證lockname_len、num_locks和承載大小。符合規範的復原和移轉流量不受影響。o2net 僅透過 DLM 網域金鑰驗證對等體，因此任何已加入網域的節點 （包括遭入侵或惡意的成員） 都可以傳送這些訊息。沒有本機觸發程序;攻擊者必須已經是叢集的成員。每個接收器都在 KASAN 下確認，並使用一個與它完全鏡像的樹外模組 - 實際目標大小的 kmem_cache/kmalloc，然後是相同的未限制的 memcpy/loop：slab-out-of-bounds 兩次寫入的寫入，恢復遍歷的讀取，以及一個錯誤。使用者空間 AddressSanitizer 在 -m32 和 -m64 下建置相同的錯誤。可應要求提供擦洗原木。我於 2026 年 6 月 20 日私下向 security@kernel.org 和 ocfs2 維護者報告了此事;由於標準禁運期後沒有回應，我將公開發布修復程序。我沒有禁運要求。
    此修補程式 （共 2 個）：接收DLM_MIGRATE_REQUEST訊息的節點信任對等提供的名稱長度 （migrate->namelen），而不對其進行限制。然後，dlm_init_mle（） 會將這麼多位元組複製到 o2dlm_mle slab 物件的固定 DLM_LOCKID_NAME_MAX 位元組 mname[] 陣列中，因此來自叢集對等體的格式錯誤訊息會使 slab 物件溢位最多 ~215 位元組：攻擊者控制的資料堆積越界寫入，網域中的任何節點都可以存取。拒絕過大的名稱，就像 dlm_master_request_handler（） 和其他 o2dlm 接收處理常式已經做的那樣;移轉處理常式會完全省略檢查。
    符合規範的訊息不受影響。（CVE-2026-89495）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ocfs2：绑定 dlm_migrate_request_handler 修补程序系列中的 namelen ocfs2/dlm：绑定 o2dlm 中的对等机控制长度。o2dlm 接收处理程序信任来自线路的 u8 长度和计数字段而不对其进行边界限制，因此 DLM 域中的节点可通过畸形消息损坏或造成任何其他节点混乱。三个缺陷：- dlm_migrate_request_handler（） 将 migrate->namelen 未经检查而传递到 dlm_init_mle（），后者 memcpy（） 将其转入 o2dlm_mle slab 对象的 32 字节 mname[]：最多 ~215 个由攻击者控制字节的堆越界写入。- dlm_mig_lockres_handler（） 将未经检查的 mres->lockname_len 传递给 dlm_init_lockres（），后者 memcpy（） 将其映射到 32 字节的 o2dlm_lockname slab 对象中：最多 ~223 字节的堆越界写入。- 同一处理程序信任 mres->num_locks，但未检查消息是否足够大以容纳那么多条目，因此 dlm_process_recovery_data（） 遍历 mres->ml[] 并经过 kmalloc（data_len） 副本并跳脱BUG_ON（以错误结束的越界读取）。其他 o2dlm 接收处理程序已拒绝超大的名称;自添加了 DLM 以来，迁移和恢复处理程序将其省略了该选项（请参阅 Fixes 标签）。修补程序 1 边界 namelen;Patch 2 验证lockname_len、num_locks和负载大小。合规恢复和迁移流量不受影响。o2net 仅通过 DLM 域密钥对对等机进行认证，因此加入该域的任何节点（包括遭到破坏或恶意的成员）都可发送这些消息。没有本地触发器;攻击者必须已经是群集的成员。每个接收器都通过一个树外模块在 KASAN 下进行确认 -- 一个真实目标大小的 kmem_cache/kmalloc，然后是相同的未限制的 memcpy/loop：两个写入的 slab-out-of-bound 写入，恢复遍历的读取和一个错误。用户空间 AddressSanitizer 版本在 -m32 和 -m64 下发生相同错误。可应要求提供擦洗过的原木。我于 2026 年 6 月 20 日私下向 security@kernel.org 和 ocfs2 维护者报告了此事;由于在标准禁运期后没有任何响应，我将公开发布该补丁。我没有禁运要求。
    此修补程序（共 2 个）：接收 DLM_MIGRATE_REQUEST 消息的节点信任对等机提供的名称长度 （migrate->namelen），而不对其进行边界限制。然后，dlm_init_mle（） 会将该数量的字节复制到o2dlm_mle slab 对象的固定 DLM_LOCKID_NAME_MAX 字节 mname[] 数组中，因此来自群集对等的畸形消息使 slab 对象溢出最多 ~215 字节：域中任何节点均可访问的攻击者控制数据的堆越界写入。拒绝过大的名称，就像 dlm_master_request_handler（） 和其他 o2dlm 接收处理程序已经执行的操作一样;迁移处理程序完全省略该检查。
    符合要求的消息不受影响。（CVE-2026-89495）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ocfs2:dlm_migrate_request_handler パッチシリーズで namelen をバインドします ocfs2/dlm:o2dlm でピアコントロールの長さをバインドします。o2dlm 受信ハンドラーは、u8 length フィールドとカウントフィールドをバインドせずにワイヤから信頼するため、DLM ドメインのノードが、無効な形式のメッセージで他のノードを破損またはパニックさせる可能性があります。3つの不具合:- dlm_migrate_request_handler()は、migrate->namelenをチェックせずにdlm_init_mle()に渡します。()は、memcpy()をo2dlm_mleスラブオブジェクトの32バイトのmname[]に渡します。これは、攻撃者が制御する最大~215バイトのヒープ領域外書き込みです。- dlm_mig_lockres_handler() が mres->lockname_len をチェックせずに dlm_init_lockres() に渡し、 memcpy() がそれを 32 バイトの o2dlm_lockname スラブオブジェクト、つまり最大 ~223 バイトのヒープ領域外書き込みにします。- 同じハンドラーが、メッセージがこれほど多くのエントリを保持できる大きさであることをチェックせずに mres->num_locks を信頼するため、dlm_process_recovery_data() は mres->ml[] を kmalloc(data_len) コピーを通り過ぎて移動し、BUG_ON をトリップさせます(パニックで終了する領域外読み取り)。他の o2dlm 受信ハンドラーは、すでに大きすぎる名前を拒否しています。DLM が追加されて以来、移行およびリカバリハンドラーはこれを省略しています(修正タグを参照)。パッチ 1 は境界名を付けます。パッチ 2 は、lockname_len、num_locks、ペイロードサイズを検証します。適合するリカバリトラフィックと移行トラフィックは影響を受けません。o2net は DLM ドメインキーによってのみピアを認証するため、ドメインに参加したあらゆるノードは、侵害されたメンバーまたは悪意のあるメンバーを含めて、これらのメッセージを送信できます。ローカル トリガーはありません。攻撃者はすでにクラスタのメンバーである必要があります。各シンクは、それを正確にミラーリングするツリー外モジュールによって KASAN 下で確認されました -- 実際の宛先サイズの kmem_cache/kmalloc、次に同じクランプ解除された memcpy/loop: 2 つの書き込みに対する slab-out-of-bounds 書き込み、回復ウォークに対する読み取り、およびパニック。ユーザー空間 AddressSanitizer は、-m32 および -m64 において同一の方法で障害を起こします。スクラブされたログはリクエストに応じて利用できます。私はこれを 2026 年 6 月 20 日に security@kernel.org と ocfs2 のメンテナンス担当者に非公開で報告しました。標準的な禁輸期間を過ぎても応答がないため、私はその修正を公に投稿しています。私には禁輸措置の要件はありません。
    このパッチ(of 2): DLM_MIGRATE_REQUESTメッセージを受信するノードは、ピアが指定した名前の長さ(migrate->namelen)をバインドせずに信頼します。次に、dlm_init_mle() はそのバイト数をo2dlm_mle スラブオブジェクトの固定 DLM_LOCKID_NAME_MAX バイトの mname[] 配列にコピーします。したがって、クラスターピアからの無効な形式のメッセージがスラブオブジェクトを最大 ~215 バイトオーバーフローします。これは、ドメイン内のどのノードからも到達可能な、攻撃者が制御するデータのヒープ領域外書き込みです。dlm_master_request_handler() および他の o2dlm 受信ハンドラーが既に行っている方法で、サイズが大きすぎる名前を拒否します。移行ハンドラーは、このチェックを完全に省略します。
    適合メッセージは影響を受けません。(CVE-2026-89495)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ocfs2: bound namelen in dlm_migrate_request_handler Patch series ocfs2/dlm: bound peer-controlled lengths     in the o2dlm. The o2dlm receive handlers trust u8 length and count fields from the wire without bounding     them, so a node in a DLM domain can corrupt or panic any other node with a malformed message. Three     defects: - dlm_migrate_request_handler() passes migrate->namelen unchecked to dlm_init_mle(), which     memcpy()s it into the 32-byte mname[] of an o2dlm_mle slab object: a heap out-of-bounds write of up to     ~215 attacker-controlled bytes. - dlm_mig_lockres_handler() passes mres->lockname_len unchecked to     dlm_init_lockres(), which memcpy()s it into the 32-byte o2dlm_lockname slab object: a heap out-of-bounds     write of up to ~223 bytes. - the same handler trusts mres->num_locks without checking that the message is     large enough to hold that many entries, so dlm_process_recovery_data() walks mres->ml[] past the     kmalloc(data_len) copy and trips a BUG_ON (an out-of-bounds read ending in a panic). The other o2dlm     receive handlers already reject an oversized name; the migration and recovery handlers have omitted it     since the DLM was added (see the Fixes tags). Patch 1 bounds namelen; patch 2 validates lockname_len,     num_locks, and the payload size. Conforming recovery and migration traffic is unaffected. o2net     authenticates peers only by the DLM domain key, so any node that has joined the domain -- including a     compromised or malicious member -- can send these messages. There is no local trigger; the attacker must     already be a member of the cluster. Each sink was confirmed under KASAN with an out-of-tree module     mirroring it exactly -- a kmem_cache/kmalloc of the real destination size, then the same unclamped     memcpy/loop: slab-out-of-bounds Write for the two writes, Read for the recovery walk, and a panic. A     userspace AddressSanitizer build faults identically under -m32 and -m64. Scrubbed logs are available on     request. I reported this privately to security@kernel.org and the ocfs2 maintainers on 2026-06-20; with no     response after the standard embargo period I am posting the fix publicly. I have no embargo requirement.
    This patch (of 2): A node receiving a DLM_MIGRATE_REQUEST message trusts the peer-supplied name length     (migrate->namelen) without bounding it. dlm_init_mle() then copies that many bytes into the fixed     DLM_LOCKID_NAME_MAX-byte mname[] array of an o2dlm_mle slab object, so a malformed message from a cluster     peer overflows the slab object by up to ~215 bytes: a heap out-of-bounds write of attacker-controlled     data, reachable by any node in the domain. Reject an oversized name, the way dlm_master_request_handler()     and the other o2dlm receive handlers already do; the migration handler omits the check entirely.
    Conforming messages are unaffected. (CVE-2026-89495)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
345356	Linux Distros 未修補弱點：CVE-2026-89495	Nessus	Misc.	9/12/2026	9/14/2026	critical
345356	Linux Distros 未修补的漏洞：CVE-2026-89495	Nessus	Misc.	9/12/2026	9/14/2026	critical
345356	Linux Distros のパッチ未適用の脆弱性: CVE-2026-89495	Nessus	Misc.	9/12/2026	9/14/2026	critical
345356	Linux Distros Unpatched Vulnerability : CVE-2026-89495	Nessus	Misc.	9/12/2026	9/14/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical