Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - drm/xe：修正巢狀外部引腳 xe_bo_pin_external（） 和 xe_bo_unpin_external（） 支援巢狀引腳的縮減器統計雙重減法，因為基礎 ttm_bo_pin（）/ttm_bo_unpin（） 會維護pin_count參照計數，而不是布林值。不過，每次 pin_external（）/unpin_external（） 呼叫時都會無條件叫用縮減器帳戶呼叫 xe_ttm_tt_account_subtract（） 和 xe_ttm_tt_account_add（），而不僅僅是在轉換進入和退出固定狀態時呼叫。
    外部 BO （dma-buf） 在已釘選時可以釘選多次，例如當它有多個附件/匯入器時，每個附件/匯入器都獨立呼叫 xe_bo_pin_external（） 。每個這類巢狀針腳都會再次從縮減器的會計中減去 BO 的頁面，即使第一個針腳已將 BO 的頁面從考慮中移除也一樣。對稱地，每個巢狀取消釘選都會在 BO 實際取消釘選之前再次將它們新增回。這會使縮減器的頁面和物件計數與現實不同步，並且由於它們被宣告為帶正負號的長，但在 xe_shrinker_count（） 中被解釋為無帶正負號的長，因此下溢可能會變成巨大的可壓縮/可清除頁數，導致縮減器在記憶體壓力下被過度調用。使用已用來保護pinned_link清單維護的相同針腳計數轉換檢查來保護帳戶呼叫，因此帳戶只會在最外層的針腳和最後的取消針腳上更新。在將此邏輯集中到 xe_bo_account_pin（）/ xe_bo_account_unpin（） 的同時，也縮小了影響匯入 dma-buf 的第二個相關會計缺口。對於匯入的 bo 的ttm_tt，xe 的ttm_tt_populate鉤子 （xe_ttm_tt_populate（）） 會在不呼叫 xe_ttm_tt_account_add（） 的情況下提前返回，因為 TTM_TT_FLAG_EXTERNAL 是在沒有TTM_TT_FLAG_EXTERNAL_MAPPABLE的情況下設定的。然而，TTM 核心的 ttm_tt_populate（） 包裝函式會無條件地將 tt 標記為在驅動程式勾點成功時填入，因此 ttm_tt_is_populated（） 仍會報告 true。xe_bo_account_pin（）/xe_bo_account_unpin（） 受信任的 ttm_tt_is_populated（） 作為這些頁面的代理由縮小器考慮，並且會減去/添加此類 tt 的頁面，這些頁面一開始就從未添加過，再次使縮小器的計數不足。這現在可以透過 xe_bo_pin_external（） 存取，並且一旦此修補程式路由，就會透過 fb-pin 路徑新實現
    下面的 __xe_pin_fb_vma（） 到 xe_bo_pin_account（），因此請在此處修復它，而不是在稍後的補丁中修復它，以避免本系列中的提交在修復之前引入迴歸。跳過匯入 bos 的帳戶處理，使用相同的 EXTERNAL &; &; ！EXTERNAL_MAPPABLE測試 xe_ttm_tt_populate（）/xe_ttm_tt_unpopulate（） 使用來決定是否採取行動，透過新的 xe_ttm_bo_is_imported（） 協助程式（從其唯一先前使用的網站提升）。
    v2： - 修正 Sashiko AI 審查發現的關鍵問題：此處介紹的引腳計數轉換檢查仍然被 fb-pin 路徑 （__xe_pin_fb_vma（）/__xe_unpin_fb_vma（）） 繞過），當 fb-unpin 執行真正的最後一次取消引腳時，這可能會留下過時的pinned_link條目和永久的縮小帳戶洩漏。在本系列的單獨後續補丁中解決，而不是在這裡折疊，因為它是一個獨特的錯誤，有自己的 Fixes： 標籤。- 刪除 xe_bo_unpin_external（） 中不需要的本機last_unpin變量，還原原始內嵌 bo->ttm.pin_count == 1 檢查;這是一個沒有操作的重命名，任何新的會計助手都沒有使用，無論如何都會被後續補丁再次刪除。v3： - 從 pin/unpin 縮減器帳戶中排除匯入的 dma-bufs，修正 Sashiko AI 審查捕獲的另一個下溢。- 在備份物件圖釘網站上新增簡短註解，指出它在圖釘時已經填入/帳戶，解決 （作為誤報澄清，無需程式碼修正） Sashiko AI 也發現的另一個中等嚴重性帳戶洩漏問題 ---truncated--- （CVE-2026-99000）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/xe：修复嵌套外部引脚上的 shrinker 核算双重减法 xe_bo_pin_external（） 和 xe_bo_unpin_external（） 支持嵌套引脚，因为底层 ttm_bo_pin（）/ttm_bo_unpin（） 维持pin_count引用计数而非布尔值。然而，shrinker 核算调用 xe_ttm_tt_account_subtract（） 和 xe_ttm_tt_account_add（） 会在每个 pin_external（）/unpin_external（） 调用时无条件调用，而不是仅在进入和退出固定状态的转换时调用。
    外部 BO （dma-buf） 在已固定时可以固定多次，例如，当它具有多个附件/导入程序，每个附件/导入程序各自独立调用 xe_bo_pin_external（） 时）。每个这样的嵌套引脚再次从缩小器的核算中减去 BO 的页面，即使第一个引脚已将 BO 的页面从考虑中删除也是如此。对称地，每个嵌套取消固定在 BO 实际取消固定之前再次将它们添加回来。这会使 shrinker 的页面和对象计数与现实失去同步，并且由于它们被声明为有符号的长整型但在 xe_shrinker_count（） 中被解释为无符号长整形，因此下溢可能变成巨大的可收缩/可清除页面计数，从而导致在内存压力下过度调用收缩器。使用已用于保护pinned_link列表维护的相同引脚计数转换检查来保护记帐调用，因此仅更新最外层引脚和最终取消引脚的记帐。将此逻辑集中到 xe_bo_account_pin（）/ xe_bo_account_unpin（） 的同时，还缩小了影响导入的 dma-buf 的第二个相关记账缺口。对于导入的 bo 的ttm_tt，xe 的 ttm_tt_populate hook （xe_ttm_tt_populate（）） 无需调用 xe_ttm_tt_account_add（） 即可提早返回，因为设置TTM_TT_FLAG_EXTERNAL无需TTM_TT_FLAG_EXTERNAL_MAPPABLE。但是，TTM 核心的 ttm_tt_populate（） 封装程序会在驱动程序挂钩成功时无条件将 tt 标记为已填充，因此 ttm_tt_is_populated（） 仍会为其报告 true。xe_bo_account_pin（）/xe_bo_account_unpin（） 受信任的 ttm_tt_is_populated（） 作为这些页面的代理由 shrinker 考虑，并将为此类 tt 减去/添加一开始从未添加的页面，再次导致 shrinker 的计数下溢。目前可通过 xe_bo_pin_external（） 访问，一旦此修补程序路由，新近将可通过 fb-pin 路径访问
    __xe_pin_fb_vma（） 到 xe_bo_pin_account（），因此请在此处修复，而不是在以后的修补程序中修复，以避免本系列中引入回归的提交再进行修复。跳过对导入的 bos 的核算，使用相同的 EXTERNAL & ！EXTERNAL_MAPPABLE测试 xe_ttm_tt_populate（）/xe_ttm_tt_unpopulate（） 使用来决定是否通过新的 xe_ttm_bo_is_imported（） 辅助函数（从其之前唯一的使用站点提升）来决定是否执行操作。
    v2： - 修复 Sashiko AI 审查捕获的危急问题：此处引入的引脚计数转换检查仍被 fb-pin 路径 （__xe_pin_fb_vma（）/__xe_unpin_fb_vma（）） 绕过），当 fb-unpin 执行真正的上一个取消固定时，这可留下过时的pinned_link条目和永久 shrinker 核算泄漏。在本系列的单独后续修补程序中解决，而不是在此折叠，因为它是一个具有自有 Fixes： 标签的独特缺陷。- 删除 xe_bo_unpin_external（） 中不需要的本地last_unpin变量，恢复原始内联 bo->ttm.pin_count == 1 检查;这是一次没有被任何新的 accounting 帮助程序使用的 no-op 重命名，并且无论如何都会被后续修补程序再次删除。v3： - 从 pin/unpin shrinker 核算中排除导入的 dma-bufs，从而修复 Sashiko AI 审查捕获的另一个下溢。- 在备份对象 pin 站点添加一个简短的注释，注明它在 pin 时已经填充/核算，解决（作为误报说明，不需要代码修复）Sashiko AI 也捕获到的一个单独的中危核算泄漏问题 ---truncated--- （CVE-2026-99000）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - drm/xe:下層の ttm_bo_pin()/ttm_bo_unpin() がブーリアンではなくpin_count refcount を維持するため、ネスト化した外部ピン xe_bo_pin_external) および xe_bo_unpin_external() がネスト化ピンをサポートするシュリンカウンティングの二重減算を修正します。ただし、シュリンカーアカウンティング呼び出し xe_ttm_tt_account_subtract() と xe_ttm_tt_account_add() は、ピン留め状態への移行時および固定状態からの移行時だけでなく、各 pin_external()/unpin_external() 呼び出しで無条件に呼び出されます。
    外部 BO(dma-buf)は、たとえば複数の添付ファイル/インポートがあり、それぞれが独立して xe_bo_pin_external() を呼び出す場合など、すでにピンされている間に複数回ピン留めすることができます。このような入れ子になったピンはそれぞれ、BO のページが最初のピンによって既に考慮対象から削除されている場合でも、シュリンカーのアカウンティングから BO のページを再び差し引きます。対称的に、ネストされた各ピン解除により、BO が実際にピン解除される前に、それらが再度追加されます。これにより、シュリンカーのページとオブジェクトのカウントが現実から非同期化され、符号付き long として宣言されますが、xe_shrinker_count() で符号なし long として解釈されるため、アンダーフローが膨大な縮小可能/パージ可能なページ数に変わり、メモリに圧力がかかるとシュリンカーが過剰に呼び出される可能性があります。pinned_linkリストのメンテナンスをガードするために既に使用されているのと同じピンカウント遷移チェックを使用してアカウンティング呼び出しをガードし、アカウンティングが最も外側のピンと最後のピン解除でのみ更新されるようにします。このロジックを xe_bo_account_pin()/ xe_bo_account_unpin() に集中化する一方で、インポートされた dma-buf に影響を与える第 2 の関連する会計ギャップも埋めます。インポートされた bo のttm_ttに対して、xe のttm_tt_populateフック(xe_ttm_tt_populate())は、TTM_TT_FLAG_EXTERNAL_MAPPABLE なしで設定されているため、xe_ttm_tt_account_add() を呼び出さずに早期に返TTM_TT_FLAG_EXTERNAL。ただし、TTM コアの ttm_tt_populate() ラッパーは、ドライバーフックの成功時に tt が入力されたと無条件にマークするため、ttm_tt_is_populated() は依然としてこれに対して true を報告します。xe_bo_account_pin()/xe_bo_account_unpin() は、これらのページのプロキシとして信頼できる ttm_tt_is_populated() がシュリンカーによって考慮され、そもそも追加されなかったそのような tt のためにページを減算/追加し、再びシュリンカーのカウントをアンダーフローします。これは現在 xe_bo_pin_external() を介して到達できますが、このパッチがルーティングされると、fb-pin パスを介して新たに到達可能になります
    __xe_pin_fb_vma() から xe_bo_pin_account() まで下記の修正を行うため、後のパッチではなくここで修正し、修正前に回帰を導入するこのシリーズでのコミットを回避します。同じ EXTERNAL &; ! を使用して、インポートされた bos のアカウンティングをスキップします。EXTERNAL_MAPPABLE xe_ttm_tt_populate()/xe_ttm_tt_unpopulate() が使用するテストを使用して、新しい xe_ttm_bo_is_imported() ヘルパー(以前唯一の使用サイトから持ち上げられた)を介して、動作するかどうかを決定します。
    v2: - Sashiko AI レビューによりキャッチされた重大な問題を修正します:ここで紹介されたピンカウント遷移チェックは、依然として fb-pin パス(__xe_pin_fb_vma()/__xe_unpin_fb_vma()によってバイパスされていました。これにより、fb-unpin が真の最後のピン解除を実行した際に、古い pinned_link エントリと永久的なシュリンカーアカウンティング漏洩が残る可能性があります。これは独自の Fixes: タグを持つ個別のバグであるため、ここでは折りたたまれるのではなく、このシリーズの別のフォローアップパッチで対処されています。- xe_bo_unpin_external() の不要なローカルlast_unpin変数をドロップし、元のインライン bo->ttm.pin_count == 1 チェックを復元します。これは新しい会計ヘルパーの誰によっても使用されていない no-op 名前変更であり、いずれにせよフォローアップパッチで再び削除される予定でした。v3: - インポートされた dma-bufs を pin/unpin シュリンカーのアカウンティングから除外し、Sashiko AI レビューでキャッチされた別のアンダーフローを修正します。- backup-object のピンサイトに短いコメントを追加し、ピンの時間にすでに入力/アカウントされていることに注意し、(誤検出の説明として、コードの修正は不要です)Sashiko AI ---truncated--- (CVE-2026-99000) によってもキャッチされた別の重要度中のアカウンティング漏洩の懸念に対処します

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - drm/xe: Fix shrinker accounting double-subtraction on nested external pins xe_bo_pin_external() and     xe_bo_unpin_external() support nested pins, since the underlying ttm_bo_pin()/ttm_bo_unpin() maintain a     pin_count refcount rather than a boolean. However, the shrinker accounting calls     xe_ttm_tt_account_subtract() and xe_ttm_tt_account_add() are invoked unconditionally on every     pin_external()/unpin_external() call, instead of only on the transition into and out of the pinned state.
    An external BO (dma-buf) can be pinned more than once while already pinned, for example when it has     multiple attachments/importers, each independently calling xe_bo_pin_external(). Each such nested pin     subtracts the BO's pages from the shrinker's accounting again, even though the BO's pages were already     removed from consideration by the first pin. Symmetrically, each nested unpin adds them back again before     the BO is actually unpinned. This desynchronizes the shrinker's page and object counts from reality, and     since they are declared as signed long but interpreted as unsigned long in xe_shrinker_count(), the     underflow can turn into an enormous shrinkable/purgeable page count, causing the shrinker to be invoked     excessively under memory pressure. Guard the accounting calls with the same pin-count transition checks     already used to guard the pinned_link list maintenance, so accounting is only updated on the outermost pin     and the final unpin. While centralizing this logic into xe_bo_account_pin()/ xe_bo_account_unpin(), also     close a second, related accounting gap affecting imported dma-bufs. For an imported bo's ttm_tt, xe's     ttm_tt_populate hook (xe_ttm_tt_populate()) early-returns without calling xe_ttm_tt_account_add(), since     TTM_TT_FLAG_EXTERNAL is set without TTM_TT_FLAG_EXTERNAL_MAPPABLE. However, TTM core's ttm_tt_populate()     wrapper unconditionally marks the tt as populated on driver-hook success, so ttm_tt_is_populated() still     reports true for it. xe_bo_account_pin()/xe_bo_account_unpin() trusted ttm_tt_is_populated() as a proxy     for these pages are accounted for by the shrinker, and would subtract/add pages for such a tt that were     never added in the first place, again underflowing the shrinker's counts. This is reachable today via     xe_bo_pin_external(), and would have become newly reachable via the fb-pin path once this patch routes
    __xe_pin_fb_vma() through xe_bo_pin_account() below, so fix it here rather than in a later patch, to avoid     a commit in this series that introduces the regression before fixing it. Skip the accounting for imported     bos, using the same EXTERNAL && !EXTERNAL_MAPPABLE test xe_ttm_tt_populate()/xe_ttm_tt_unpopulate() use to     decide whether to act, via a new xe_ttm_bo_is_imported() helper (hoisted up from its only prior use site).
    v2: - Fix the critical issue caught by Sashiko AI review: the pin-count transition check introduced here     was still bypassed by the fb-pin path (__xe_pin_fb_vma()/__xe_unpin_fb_vma()), which could leave a stale     pinned_link entry and a permanent shrinker accounting leak when the fb-unpin performed the true last     unpin. Addressed in a separate follow-up patch in this series rather than folded in here, since it is a     distinct bug with its own Fixes: tag. - Drop the unneeded local last_unpin variable in     xe_bo_unpin_external(), restoring the original inline bo->ttm.pin_count == 1 check; it was a no-op rename     not used by any of the new accounting helpers, and was going to be deleted again by the follow-up patch     anyway. v3: - Exclude imported dma-bufs from the pin/unpin shrinker accounting, fixing another underflow     caught by Sashiko AI review. - Add a short comment on the backup-object pin site noting it's already     populated/accounted at pin time, addressing (as a false-positive clarification, no code fix needed) a     separate Medium-severity accounting-leak concern also caught by Sashiko AI ---truncated---     (CVE-2026-99000)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
372304	Linux Distros 未修補弱點：CVE-2026-99000	Nessus	Misc.	10/27/2026	10/28/2026	medium
372304	Linux Distros 未修补的漏洞：CVE-2026-99000	Nessus	Misc.	10/27/2026	10/28/2026	medium
372304	Linux Distros のパッチ未適用の脆弱性: CVE-2026-99000	Nessus	Misc.	10/27/2026	10/28/2026	medium
372304	Linux Distros Unpatched Vulnerability : CVE-2026-99000	Nessus	Misc.	10/27/2026	10/28/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium