Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - net：skbuff：在 pskb_carve（） pskb_carve_inside_header（） 和 pskb_carve_inside_nonlinear（） 移除封包的第一個位元組並重新配置 skb->head 之後，不要留下過時的標頭位移。操作之前存在的所有標頭都消失了，但這兩個函數都調用 skb_headers_offset_update（skb， 0），這是一個無操作：skb->mac_header、skb->network_header、skb->transport_header 和 skb->csum_start保留其舊值，現在描述不再存在的位元組。這兩個協助程式都會從舊的 skb_end_offset（） 調整新頭的大小，因此過時的偏移量仍會落在新配置內。不過，它們指向過去的 skb_tail_pointer（），指向從未初始化的位元組。pskb_carve_inside_nonlinear（） 是最壞的情況，因為它會留下一個帶有空線性部分的殭屍 skb （skb->data == skb_tail_pointer（skb）， skb_headlen（skb） == 0），而 skb_mac_header_was_set（） 仍然是 true，並且 skb->mac_header 遠遠領先於 skb->data。pskb_extract（） 的唯一使用者是 rds_tcp_data_recv（），雕刻的 skb 在 tinc->ti_skb_list 上排入佇列。當釋放 RDS 傳入訊息時，rds_tcp_inc_free（） 會呼叫 skb_queue_purge（），這會釋放具有 SKB_DROP_REASON_QUEUE_PURGE 的 skb。這從 drop_monitor 可以看到，然後它會嘗試拉回（虛假的）mac 標頭：skbuff：__skb_pull（len=234） skb len=6968 data_len=6968 headroom=0 headlen=0 tailroom=0 end-tail=384 mac=（234,14） mac_len=14 net=（248,40） trans=288 shinfo（txflags=0 nr_frags=1 gso（size=1428 type=16 segs=5）） csum（0x100120 start=288 offset=16 ip_summed=3 complete_sw=0 valid=1 level=0） hash（0x7b446c6c sw=0 l4=1） proto=0x86dd pkttype=0 iif=60 核心錯誤，位於 ./include/linux/skbuff.h：2847！新增 skb_carve_reset_headers（） 以將 mac 和傳輸標頭標記為未設定、重設網路標頭、清除 skb->mac_len，並刪除現在無意義的CHECKSUM_PARTIAL（csum_start不再描述任何內容）。也使內部偏移失效。與 mac_header 和 transport_header 不同，它們沒有未設定的哨兵，因此剩餘的非零值看起來仍然像真正的標頭。零 skb->inner_mac_header、skb->inner_network_header、skb->inner_transport_header、skb->inner_protocol 和 skb->encapsulation，因此所有標頭狀態都在一個地方失效。v2：
    修正了不準確的變更日誌。過時的偏移量保留在新的 skb->head 內，它永遠不會小於舊的，它們只是指向過去 skb_tail_pointer（） 指向已消失的位元組。感謝羅宣強對此的堅持。同時使內部標頭狀態失效，如 netdev AI 審查所建議：
    https://netdev-ai.bots.linux.dev/sashiko/#/patchset/20260911114922.621937-1-edumazet%40google.com(CVE-2026-98271)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：skbuff：在 pskb_carve（） 之后不留下过时的标头偏移 pskb_carve_inside_header（） 和 pskb_carve_inside_nonlinear（） 删除数据包的第一个字节并重新分配 skb->head。操作之前存在的所有标头都消失了，但两个函数都会调用 skb_headers_offset_update（skb， 0），这是非 op：skb->mac_header、skb->network_header、skb->transport_header 和 skb->csum_start保留其旧值，并且现在描述不再存在的字节。这两个帮助程序都会从旧的 skb_end_offset（） 调整新头的大小，因此过时的偏移量仍位于新分配中。不过，它们指向 skb_tail_pointer（） 之后的从未初始化的字节。pskb_carve_inside_nonlinear（） 是最坏的情况，因为它留下僵尸 skb 有一个空的线性部分 （skb->data == skb_tail_pointer（skb）， skb_headlen（skb） == 0），而 skb_mac_header_was_set（） 仍然成立并且 skb->mac_header 远远领先于 skb->data。pskb_extract（） 的唯一用户为 rds_tcp_data_recv（），且雕刻的 skb 在 tinc->ti_skb_list 上排队。当释放 RDS 传入消息时，rds_tcp_inc_free（） 会调用 skb_queue_purge（），从而释放具有SKB_DROP_REASON_QUEUE_PURGE的 skbs。这可以从随后尝试拉回（虚假的）mac 标头的 drop_monitor 中可见： skbuff：__skb_pull（len=234） skb len=6968 data_len=6968 headroom=0 headlen=0 tailroom=0 end-tail=384 mac=（234,14） mac_len=14 net=（248,40） trans=288 shinfo（txflags=0 nr_frags=1 gso（size=1428 type=16 segs=5）） csum（0x100120 start=288 offset=16 ip_summed=3 complete_sw=0 valid=1 level=0） hash（0x7b446c6c sw=0 l4=1） proto=0x86dd pkttype=0 iif=60 kernel BUG at ./include/linux/skbuff.h：2847！添加 skb_carve_reset_headers（） 以将 mac 和传输标头标记为未设置，重置网络标头，清除 skb->mac_len，并终止现在无意义的CHECKSUM_PARTIAL（csum_start不再描述任何内容）。同时使内部偏移无效。与 mac_header 和 transport_header 不同，它们没有未设置的哨兵，因此剩余的非零值看起来仍然像真正的标头。零 skb->inner_mac_header、skb->inner_network_header、skb->inner_transport_header、skb->inner_protocol 和 skb->encapsulation，从而使所有标头状态在一处失效。v2：
    修复了一个不准确的变更日志。过时的偏移保留在新的 skb->head 内，它永远不会比旧的更小，它们只是指向 skb_tail_pointer（） 之后的字节。感谢罗轩强坚持这一点。同时使内部标头状态无效，如 netdev AI 审查所建议：
    https://netdev-ai.bots.linux.dev/sashiko/#/patchset/20260911114922.621937-1-edumazet%40google.com(CVE-2026-98271)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - net:skbuff:pskb_carve() pskb_carve_inside_header() および pskb_carve_inside_nonlinear() がパケットの最初のバイトを削除し、skb->head を再割り当てした後、古いヘッダーオフセットを放置しません。操作の前に存在していたヘッダーはすべて消えますが、両方の関数は skb_headers_offset_update(skb、0)を呼び出します。これは no-op です: skb->mac_header、skb->network_header、skb->transport_header、skb->csum_start は古い値を保持し、現時点では存在しないバイトを記述します。両方のヘルパーは、古い skb_end_offset() から新しいヘッドのサイズを決定し、古いオフセットが新しい割り当ての中に収まるようにします。ただし、これらは skb_tail_pointer() を超えて、初期化されていないバイトを指します。pskb_carve_inside_nonlinear()は最悪のケースで、ゾンビskbに空の線形部分(skb->data == skb_tail_pointer(skb), skb_headlen(skb) == 0)を残しますが、skb_mac_header_was_set()がまだ真でskb->mac_headerはskb->dataよりずっと進んでいます。pskb_extract() のユーザーは rds_tcp_data_recv() のみで、刻まれた skb は tinc->ti_skb_list でキューに入れられます。RDS 受信メッセージがリリースされると、rds_tcp_inc_free() は skb_queue_purge() を呼び出し、skbs を SKB_DROP_REASON_QUEUE_PURGE で解放します。これは、(偽造の)mac ヘッダーに引き戻そうとする drop_monitor から確認できます: skbuff: __skb_pull(len=234) skb len=6968 data_len=6968 headroom=0 headlen=0 tailroom=0 end-tail=384 mac=(234,14) mac_len=14 net=(248,40) trans=288 shinfo(txflags=0 nr_frags=1 gso(size=1428 type=16 segs=5)) csum(0x100120 start=288 offset=16 ip_summed=3 complete_sw=0 valid=1 level=0) hash(0x7b446c6c sw=0 l4=1) proto=0x86dd pkttype=0 iif=60 カーネルバグ ./include/linux/skbuff.h:2847! skb_carve_reset_headers() を追加して mac および transport ヘッダーを未設定としてマークし、ネットワークヘッダーをリセットし、skb->mac_len を消去し、今では意味のないCHECKSUM_PARTIALをドロップします(csum_startは、もはや何も説明していません)。内部オフセットも無効にします。mac_header や transport_header とは異なり、これらには未設定のセンチネルがないため、残りのゼロ以外の値は実際のヘッダーのように見えます。skb->inner_mac_header、skb->inner_network_header、skb->inner_transport_header、skb->inner_protocol、skb->encapsulation をゼロにすることで、すべてのヘッダー状態が一箇所で無効になります。v2:
    不正確な変更ログを修正しました。古いオフセットは新しい skb->head 内にとどまりますが、これは古いものよりも小さくなることはなく、単に skb_tail_pointer() を超えて消えたバイトを指します。これを主張してくれた Xuanqiang Luo に感謝します。また、netdev AI レビューで提案されているように、内部ヘッダーの状態も無効にします:
    https://netdev-ai.bots.linux.dev/sashiko/#/patchset/20260911114922.621937-1-edumazet%40google.com(CVE-2026-98271)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - net: skbuff: do not leave stale header offsets after pskb_carve() pskb_carve_inside_header() and     pskb_carve_inside_nonlinear() remove the first bytes of a packet and reallocate skb->head. All the headers     that were present before the operation are gone, but both functions call skb_headers_offset_update(skb,     0), which is a no-op : skb->mac_header, skb->network_header, skb->transport_header and skb->csum_start     keep their old values and now describe bytes which are no longer there. Both helpers size the new head     from the old skb_end_offset(), so the stale offsets still land inside the new allocation. They point past     skb_tail_pointer() though, to bytes that were never initialized. pskb_carve_inside_nonlinear() is the     worst case, because it leaves a zombie skb with an empty linear part (skb->data == skb_tail_pointer(skb),     skb_headlen(skb) == 0), while skb_mac_header_was_set() is still true and skb->mac_header is way ahead of     skb->data. The only user of pskb_extract() is rds_tcp_data_recv(), and the carved skb is queued on     tinc->ti_skb_list. When the RDS incoming message is released, rds_tcp_inc_free() calls skb_queue_purge(),     which frees the skbs with SKB_DROP_REASON_QUEUE_PURGE. This is visible from drop_monitor, which then tries     to pull back to the (bogus) mac header : skbuff: __skb_pull(len=234) skb len=6968 data_len=6968 headroom=0     headlen=0 tailroom=0 end-tail=384 mac=(234,14) mac_len=14 net=(248,40) trans=288 shinfo(txflags=0     nr_frags=1 gso(size=1428 type=16 segs=5)) csum(0x100120 start=288 offset=16 ip_summed=3 complete_sw=0     valid=1 level=0) hash(0x7b446c6c sw=0 l4=1) proto=0x86dd pkttype=0 iif=60 kernel BUG at     ./include/linux/skbuff.h:2847! Add skb_carve_reset_headers() to mark the mac and transport headers as not     set, reset the network header, clear skb->mac_len, and drop a now meaningless CHECKSUM_PARTIAL (csum_start     no longer describes anything). Invalidate the inner offsets as well. Unlike mac_header and     transport_header they have no unset sentinel, so a leftover non-zero value still looks like a real     header. Zero skb->inner_mac_header, skb->inner_network_header, skb->inner_transport_header,     skb->inner_protocol and skb->encapsulation, so that all the header state is invalidated in one place. v2:
    fixed an inaccurate changelog. The stale offsets stay inside the new skb->head, which is never smaller     than the old one, they simply point past skb_tail_pointer() to bytes that are gone. Thanks to Xuanqiang     Luo for insisting on this. Also invalidate the inner header state, as suggested by the netdev AI review :
    https://netdev-ai.bots.linux.dev/sashiko/#/patchset/20260911114922.621937-1-edumazet%40google.com     (CVE-2026-98271)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
363279	Linux Distros 未修補弱點：CVE-2026-98271	Nessus	Misc.	10/6/2026	10/10/2026	medium
363279	Linux Distros 未修补的漏洞：CVE-2026-98271	Nessus	Misc.	10/6/2026	10/10/2026	medium
363279	Linux Distros のパッチ未適用の脆弱性: CVE-2026-98271	Nessus	Misc.	10/6/2026	10/10/2026	medium
363279	Linux Distros Unpatched Vulnerability : CVE-2026-98271	Nessus	Misc.	10/6/2026	10/10/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium