Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - bpf：保持内存分配器析构函数记录的映射 BTF bpf_马_set_dtor（） 复制 map->record，以便bpf_mem_alloc析构函数可在分配器永久释放 hash 和 rhash 映射元素的特殊字段时释放这些元素的特殊字段。btf_record_dup（） 仅获取内核和模块 BTF 上的引用。类型存在于映射 BTF 中的字段会一直指向它：本地类型的 kptr 引用 map->btf，而list_head或 rb_root 字段携带 map->btf 的 struct 元表拥有的value_rec。这种借来的状态可以比地图更长寿。当 RCU 回调仍在运行中时，bpf_mem_alloc_destroy（） 将分配器复制到分配器，并将最终漏与析构函数上下文一起推迟到工作队列。然后，bpf_map_free（） 释放 map->record，并在 map_free（） 返回时立即删除映射的 BTF 引用。加载 BTF 的程序也消失后，BTF 将被释放，而工作线程仍在使用重复。工作线程在破坏在 RCU 下释放的元素时通过 bpf_obj_free_fields（） 中的 btf_is_kernel（） 和 btf_find_struct_meta（） 取消引用，以及在释放上下文本身时通过 btf_record_free（） 中的 btf_is_kernel（） 对其进行取消引用： 缺陷： KASAN：在 btf_is_kernel+0x19/0x30 中的释放后使用 任务 kworker/u16：2/50 在地址 ffff88811505dce8 读取的大小为 1 的工作队列： events_unbound free_mem_alloc_deferred 调用跟踪：btf_is_kernel+0x19/0x30 btf_record_free+0xc7/0xf0 htab_dtor_ctx_free+0x1a/0x30 free_mem_alloc_no_barrier+0x39/0x230 free_mem_alloc_deferred+0x2a/0x40 process_scheduled_works+0x5ce/0x9d0 worker_thread+0x42a/0x5e0 kthread+0x1f5/0x230 ret_from_fork+0x1dd/0x390 ret_from_fork_asm+0x1a/0x30 按任务 358 分配： __kmalloc_cache_noprof+0x287/0x510 btf_new_fd+0xf7/0x3d0 __sys_bpf+0x487/0x840 由任务 0 释放：kfree+0x186/0x560 rcu_core+0x6f6/0xd40 释放仍然比分配器的最高水位线更多的元素的映射就足以到达那里，因为拆卸期间的批量释放会将使 bpf_mem_alloc_destroy（） 延迟的 RCU 回调排队。非预分配哈希映射和可调整大小的哈希映射都会注册析构函数，并且受到相同的影响。在析构函数上下文的映射 BTF 上保留一个引用。重复记录中的每个非内核指针要么是 map->btf 或属于其的内存，因此单一引用涵盖 kptr、列表头和 rb 根，并反映了 bpf_map_meta_alloc（） 对内部映射的重复记录的作用。只有在释放了重复的记录之后才将其释放：工作线程可抢占且不在 RCU 读取端关键部分，因此首先删除最后一个引用会让 BTF 在 btf_record_free（） 仍在读取其字段时得到释放。（CVE-2026-98813）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - bpf：保留記憶體配置器析構子記錄的映射 BTF bpf_ma_set_dtor（） 重複 map->record，以便bpf_mem_alloc解構器可以在配置器永久釋放雜湊和 rhash 映射元素的特殊欄位後釋放它們。btf_record_dup（） 僅取得核心和模組 BTF 上的參照。類型存在於映射 BTF 中的字段不斷指向它：本地類型的 kptr 引用 map->btf，而 list_head 或 rb_root 字段帶有 map->btf 的結構元表所擁有的value_rec。這個借來的狀態可以比地圖更長壽。當 RCU 回呼仍在進行中時，bpf_mem_alloc_destroy（） 會複製配置器，並將最終清空與析構函式內容一起推遲到工作佇列。然後，bpf_map_free（） 會釋放 map->record，並在 map_free（） 傳回時立即刪除映射的 BTF 參照。一旦載入 BTF 的程式也消失了，BTF 就會被釋放，而背景工作者仍在使用副本。當破壞在 RCU 下釋放的元素時，工作角色會透過 bpf_obj_free_fields（） 中的 btf_is_kernel（） 和 btf_find_struct_meta（） 解除參照，並在釋放上下文本身時透過 btf_record_free（） 中的 btf_is_kernel（） 解除參照： 錯誤： KASAN：btf_is_kernel+0x19/0x30 中的 slab-use-after-free 透過任務 kworker/u16：2/50 在 addr ffff88811505dce8 讀取大小 1 工作佇列： events_unbound free_mem_alloc_deferred 呼叫追蹤：btf_is_kernel+0x19/0x30 btf_record_free+0xc7/0xf0 htab_dtor_ctx_free+0x1a/0x30 free_mem_alloc_no_barrier+0x39/0x230 free_mem_alloc_deferred+0x2a/0x40 process_scheduled_works+0x5ce/0x9d0 worker_thread+0x42a/0x5e0 kthread+0x1f5/0x230 ret_from_fork+0x1dd/0x390 ret_from_fork_asm+0x1a/0x30 由任務 358 分配： __kmalloc_cache_noprof+0x287/0x510 btf_new_fd+0xf7/0x3d0 __sys_bpf+0x487/0x840 由任務 0 釋放：kfree+0x186/0x560 rcu_core+0x6f6/0xd40 釋放仍然包含比分配器高水位線更多的元素的地圖就足以到達那裡，因為拆卸期間的大量釋放會將使 bpf_mem_alloc_destroy（） 延遲的 RCU 回調排入佇列。未預先配置的雜湊對應和可調整大小的雜湊對應都會註冊析構函式，並受到同樣的影響。在析構函式內容中的對應 BTF 上保留一個參照。重複記錄中的每個非核心指標要么是 map->btf ，要么是它擁有的內存，因此單一參照涵蓋 kptr、清單頭和 rb 根，並鏡像 bpf_map_meta_alloc（） 對內部映射的重複記錄所做的操作。只有在釋放重複的記錄後才釋放它：工作程序是可搶佔的，並且不在 RCU 讀取端關鍵區段中，因此先刪除最後一個參照將使 BTF 在 btf_record_free（） 仍讀取其欄位時被釋放。（CVE-2026-98813）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - bpf:メモリアロケーターデストラクタレコードbpf_ma_set_dtor()のマップBTFを保留すると、map->recordが重複するため、アロケーターがハッシュおよびrhashマップ要素の特別なフィールドを完全に解放すると、bpf_mem_allocデストラクタはこれらの要素の特別なフィールドをリリースできます。btf_record_dup() は、カーネルとモジュール BTF の参照のみを取得します。型がマップ BTF に存在するフィールドは、マップ BTF を指し示し続けます: ローカル型への kptr は map->btf を参照し、list_head または rb_root フィールドは、map->btf の構造体メタテーブルによって所有されるvalue_recを運びます。その借用した状態は、マップよりも長生きする可能性があります。RCU コールバックがまだ実行中の場合、bpf_mem_alloc_destroy() はアロケーターをコピーし、デストラクター コンテキストとともに最終ドレインを workqueue に延期します。その後、bpf_map_free() は map->record を解放し、map_free() が戻ると直ちにマップの BTF 参照をドロップします。BTF をロードしたプログラムもなくなると、ワーカーが引き続き複製を使用している間、BTF は解放されます。ワーカーは、RCU の下で解放された要素を破壊する際には bpf_obj_free_fields() の btf_is_kernel() と btf_find_struct_meta() を通じて、コンテキスト自体を解放する際には btf_record_free() の btf_is_kernel() を通じて、それを逆参照します: バグ: KASAN:btf_is_kernel+0x19/0x30 の slab-use-after-free タスクによる addr ffff88811505dce8 でのサイズ 1 の読み取り kworker/u16:2/50 ワークキュー: events_unbound free_mem_alloc_deferred コールトレース:btf_is_kernel+0x19/0x30 btf_record_free+0xc7/0xf0 htab_dtor_ctx_free+0x1a/0x30 free_mem_alloc_no_barrier+0x39/0x230 free_mem_alloc_deferred+0x2a/0x40 process_scheduled_works+0x5ce/0x9d0 worker_thread+0x42a/0x5e0 kthread+0x1f5/0x230 ret_from_fork+0x1dd/0x390 ret_from_fork_asm+0x1a/0x30 タスク358によって割り当てられる: __kmalloc_cache_noprof+0x287/0x510 btf_new_fd+0xf7/0x3d0 __sys_bpf+0x487/0x840 タスク 0 により解放されます: kfree+0x186/0x560 rcu_core+0x6f6/0xd40 アロケーターのハイウォーターマークよりも多くの要素を保持しているマップを解放すると、そこに到達するのに十分です。ティアダウン中のバルク解放により、bpf_mem_alloc_destroy() を延期する RCU コールバックがキューに並ぶからです。事前割り当てされていないハッシュマップとサイズ変更可能なハッシュマップはどちらもデストラクタを登録し、同様に影響を受けます。デストラクタコンテキストのマップBTFに1つの参照を保持します。重複レコード内のすべての非カーネルポインターは、map->btf またはそれが所有するメモリのいずれかであるため、単一の参照は kptrs、リストヘッド、および rb ルートをカバーし、内部マップの重複したレコードに対する bpf_map_meta_alloc() の動作を反映します。重複したレコードが解放された後にのみリリースします:ワーカーはプリエンプト可能で、RCU 読み取り側の重要セクションにないため、最後の参照を最初にドロップすると、btf_record_free() がまだそのフィールドを読み込んでいる間、BTF が解放されます。(CVE-2026-98813)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - bpf: Hold map BTF for the memory allocator destructor record bpf_ma_set_dtor() duplicates map->record so     that the bpf_mem_alloc destructor can release the special fields of hash and rhash map elements once the     allocator frees them for good. btf_record_dup() only acquires references on kernel and module BTF. Fields     whose types live in the map BTF keep pointing into it: a kptr to a local type refers to map->btf, and a     list_head or rb_root field carries a value_rec owned by the struct meta table of map->btf. That borrowed     state can outlive the map. When RCU callbacks are still in flight, bpf_mem_alloc_destroy() copies the     allocator and defers the final drain, together with the destructor context, to a workqueue. bpf_map_free()     then frees map->record and drops the map's BTF reference as soon as map_free() returns. Once the program     that loaded the BTF is gone as well, the BTF is freed while the worker still uses the duplicate. The     worker dereferences it through btf_is_kernel() and btf_find_struct_meta() in bpf_obj_free_fields() when     destroying elements that were freed under RCU, and through btf_is_kernel() in btf_record_free() when     releasing the context itself: BUG: KASAN: slab-use-after-free in btf_is_kernel+0x19/0x30 Read of size 1 at     addr ffff88811505dce8 by task kworker/u16:2/50 Workqueue: events_unbound free_mem_alloc_deferred Call     Trace: btf_is_kernel+0x19/0x30 btf_record_free+0xc7/0xf0 htab_dtor_ctx_free+0x1a/0x30     free_mem_alloc_no_barrier+0x39/0x230 free_mem_alloc_deferred+0x2a/0x40 process_scheduled_works+0x5ce/0x9d0     worker_thread+0x42a/0x5e0 kthread+0x1f5/0x230 ret_from_fork+0x1dd/0x390 ret_from_fork_asm+0x1a/0x30     Allocated by task 358: __kmalloc_cache_noprof+0x287/0x510 btf_new_fd+0xf7/0x3d0 __sys_bpf+0x487/0x840     Freed by task 0: kfree+0x186/0x560 rcu_core+0x6f6/0xd40 Freeing a map that still holds more elements than     the allocator's high watermark is enough to get there, because the bulk free during teardown queues the     RCU callback that makes bpf_mem_alloc_destroy() defer. Non-preallocated hash maps and resizable hash maps     both register the destructor and are affected alike. Keep one reference on the map BTF in the destructor     context. Every non-kernel pointer in the duplicated record is either map->btf or memory owned by it, so a     single reference covers kptrs, list heads, and rb roots, and mirrors what bpf_map_meta_alloc() does for     the duplicated record of an inner map. Release it only after the duplicated record has been freed: the     worker is preemptible and not in an RCU read-side critical section, so dropping the last reference first     would let the BTF be freed while btf_record_free() still reads its fields. (CVE-2026-98813)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
367090	Linux Distros 未修补的漏洞：CVE-2026-98813	Nessus	Misc.	10/18/2026	10/21/2026	high
367090	Linux Distros 未修補弱點：CVE-2026-98813	Nessus	Misc.	10/18/2026	10/21/2026	high
367090	Linux Distros のパッチ未適用の脆弱性: CVE-2026-98813	Nessus	Misc.	10/18/2026	10/21/2026	high
367090	Linux Distros Unpatched Vulnerability : CVE-2026-98813	Nessus	Misc.	10/18/2026	10/21/2026	high

Detections

Analytics

Plugins Search

high

high

high

high