Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - smb：用戶端：拒絕不符合要求緩衝區的 SetEA 要求 CIFSSMBSetEA（） 會將呼叫端的擴充屬性值複製到 SMB 要求緩衝區，而不檢查它是否適合。該要求在原始碼中說明，但從未實現： /*BB 新增長度檢查以查看它是否適合協商的 SMB 緩衝區大小 BB */ /* if （ea_value_len > buffer_size - 512 （足夠用於標頭）） */ if （ea_value_len） memcpy（parm_data->list.name + name_len + 1， ea_value， ea_value_len）;在進入過程中套用的唯一界限是在 cifs_xattr_set（） 中： #define MAX_EA_VALUE_SIZE CIFSMaxBufSize ...如果 （大小 > MAX_EA_VALUE_SIZE） CIFSMaxBufSize 是緩衝區的完整承載容量，因此該大小的值不會為 SMB 標頭、TRANS2 參數區塊、fealist 標頭和寫入在相同物件前面的 EA 名稱留下空間。SendReceive（） 已對此長度強制執行正確的限制：if （in_len > CIFSMaxBufSize + MAX_CIFS_HDR_SIZE），但在複製發生之後呼叫。具有 250 位元組名稱和 16384 位元組值的 SMB1 掛載上的無權限 setxattr（2） 會將從 345 位元組開始的 16384 位元組寫入 16588 位元組的 cifs_request 物件，並在其後 141 位元組結束： 錯誤： KASAN：CIFSSMBSetEA+0xabc/0xde0 在 addr ffff888003aa0159 處寫入大小為 16384 的寫入 init/68
    __asan_memcpy+0x3c/0x60 CIFSSMBSetEA+0xabc/0xde0 cifs_xattr_set+0xd3a/0xff0 __vfs_setxattr+0x13e/0x1a0 有錯誤的位址位於配置的 16588 位元組區域內的 345 位元組 將 SendReceive（） 的限制套用至複製之前而不是之後的組合要求，並擴大位元組計數器，使總和在測試之前無法換行。byte_count也會針對 U16_MAX 進行測試，因為它會儲存在 16 位元 pSMB->ByteCount 中。當 CIFSMaxBufSize 在模組載入時引發時，它可以設定為 1024*127：使用 5 位元組的 EA 名稱和 65521 位元組的值，計數正好U16_MAX，而 byte_count 為 65556，並且 cpu_to_le16（） 會將其截斷為 20 並傳輸 ByteCount 與其長度不匹配的幀。測試byte_count也涵蓋計數，因為 byte_count 是兩者中較大的一個，並且計數唯一的 16 位消費者是在這一點之後寫入的。系統會先評估 check_add_overflow（），以便在報告之前指派total_len。（CVE-2026-99109）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - smb：客户端：拒绝不适合请求缓冲区的 SetEA 请求 CIFSSMBSetEA（） 将调用程序的扩展属性值复制到 SMB 请求缓冲区，但未检查该值是否适合。源中说明了要求，但从未实现：/*BB 添加长度检查以查看是否适合协商的 SMB 缓冲区大小 BB */ /* if （ea_value_len > buffer_size - 512（足够用于标头）） */ if （ea_value_len） memcpy（parm_data->list.name + name_len + 1， ea_value， ea_value_len）;在进入过程中应用的唯一边界是在 cifs_xattr_set（） 中： #define MAX_EA_VALUE_SIZE CIFSMaxBufSize ...if （大小 > MAX_EA_VALUE_SIZE） CIFSMaxBufSize 是缓冲区的完整负载容量，因此完全相同大小的值不会给同一对象中写在前面的 SMB 标头、TRANS2 参数块、fealist 标头和 EA 名称留下任何空间。SendReceive（） 已对此长度强制执行正确的限制：if （in_len > CIFSMaxBufSize + MAX_CIFS_HDR_SIZE），但它是在复制发生后调用的。具有 250 字节名称和 16384 字节值的 SMB1 挂载上的非特权 setxattr（2） 会将以 345 字节开头的 16384 字节写入 16588 字节的 cifs_request 对象，在其之后结束 141 字节： 缺陷：KASAN：CIFSSMBSetEA+0xabc/0xde0 在地址处的写入大小为 16384，由任务 init/68 写入
    __asan_memcpy+0x3c/0x60 CIFSSMBSetEA+0xabc/0xde0 cifs_xattr_set+0xd3a/0xff0 __vfs_setxattr+0x13e/0x1a0 有缺陷的地址位于分配的 16588 字节区域内 345 字节 在复制之前（而不是复制之后）对组装请求应用 SendReceive（） 的限制，并加宽字节计数器，使总和在测试前无法封装。还针对 U16_MAX 进行测试byte_count，因为它存储在 16 位 pSMB->ByteCount 中。在模块加载时 CIFSMaxBufSize 升高时可达到此值，其可能被设置为高达 1024*127：具有 5 字节 EA 名称和 65521 字节值时，count 正好为 U16_MAX，而 byte_count 为 65556，cpu_to_le16（） 会将其截断为 20，并传输 ByteCount 与其长度不匹配的帧。测试byte_count也涵盖了 count，因为 byte_count 是两者中较大的一个，并且 count 的唯一 16 位使用者在此之后写入。首先评估 check_add_overflow（），以便在报告total_len前分配。（CVE-2026-99109）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - smb:client:リクエストバッファに適合しない SetEA リクエストを拒否します CIFSSMBSetEA() は、呼び出し元の拡張属性値が適合することを確認せずに、SMB リクエストバッファにコピーします。要件はソースに記載されていますが、実装されることはありませんでした: /*BB ネゴシエートされた SMB バッファサイズ BB に収まるかどうかを確認するための長さチェックを追加します BB */ /* if (ea_value_len > buffer_size - 512(ヘッダーに十分)) */ if (ea_value_len) memcpy(parm_data->list.name + name_len + 1, ea_value, ea_value_len);途中で適用される唯一のバインドは cifs_xattr_set() です: #define MAX_EA_VALUE_SIZE CIFSMaxBufSize ...(サイズ > MAX_EA_VALUE_SIZE) CIFSMaxBufSize がバッファのフルペイロード容量である場合、ちょうどそのサイズの値は、同じオブジェクト内でその前に書き込まれる SMB ヘッダー、TRANS2 パラメーターブロック、fealist ヘッダー、および EA 名のための余地を残しません。SendReceive() はすでにこの長さに正しい制限を強制しています: if (in_len > CIFSMaxBufSize + MAX_CIFS_HDR_SIZE) ですが、コピーが行われた後に呼び出されます。250 バイトの名前と 16384 バイトの値を持つ SMB1 マウントの権限のない setxattr(2) が、16388 バイトの cifs_request オブジェクトに 345 バイトから始まる 16384 バイトを書き込み、141 バイトを超えて終了します: バグ: KASAN:0xde0 0xabcタスク init/68 による addr ffff888003aa0159 でのサイズ 16384 の書き込み
    __asan_memcpy+0x3c/0x60 CIFSSMBSetEA+0xabc/0xde0 cifs_xattr_set+0xd3a/0xff0 __vfs_setxattr+0x13e/0x1a0 バグのあるアドレスが、割り当てられた 16588 バイトの領域の 345 バイトに位置しています SendReceive() の制限を、コピーの後ではなくコピーの前に適用し、テスト前に合計がラップされないようにバイトカウンターを広げます。byte_countは16ビットのpSMB->ByteCountに格納されるため、U16_MAXに対してもテストされます。これは、モジュールのロードで CIFSMaxBufSize が発生したときに到達可能になり、1024*127 まで高く設定される可能性があります:5 バイトの EA 名と 65521 バイトの値がある場合、カウントは正確にU16_MAXですが、byte_count は 65556 であり、cpu_to_le16() はこれを 20 に切り捨て、ByteCount がその長さに一致しないフレームを送信します。byte_countは 2 つのうち大きい方であり、カウントの唯一の 16 ビットコンシューマーはこの時点より後に書き込まれるため、テストbyte_countカウントもカバーします。check_add_overflow() は、報告される前にtotal_lenが割り当てられるように最初に評価されます。(CVE-2026-99109)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - smb: client: reject SetEA requests that do not fit the request buffer CIFSSMBSetEA() copies the caller's     extended attribute value into the SMB request buffer without checking that it fits. The requirement is     stated in the source but was never implemented: /*BB add length check to see if it would fit in negotiated     SMB buffer size BB */ /* if (ea_value_len > buffer_size - 512 (enough for header)) */ if (ea_value_len)     memcpy(parm_data->list.name + name_len + 1, ea_value, ea_value_len); The only bound applied on the way in     is in cifs_xattr_set(): #define MAX_EA_VALUE_SIZE CIFSMaxBufSize ... if (size > MAX_EA_VALUE_SIZE)     CIFSMaxBufSize is the full payload capacity of the buffer, so a value of exactly that size leaves no room     for the SMB header, the TRANS2 parameter block, the fealist header and the EA name that are written ahead     of it in the same object. SendReceive() already enforces the correct limit on this very length: if (in_len     > CIFSMaxBufSize + MAX_CIFS_HDR_SIZE) but it is called after the copy has taken place. An unprivileged     setxattr(2) on an SMB1 mount with a 250-byte name and a 16384-byte value writes 16384 bytes starting 345     bytes into a 16588-byte cifs_request object, ending 141 bytes past it: BUG: KASAN: slab-out-of-bounds in     CIFSSMBSetEA+0xabc/0xde0 Write of size 16384 at addr ffff888003aa0159 by task init/68
    __asan_memcpy+0x3c/0x60 CIFSSMBSetEA+0xabc/0xde0 cifs_xattr_set+0xd3a/0xff0 __vfs_setxattr+0x13e/0x1a0 The     buggy address is located 345 bytes inside of allocated 16588-byte region Apply SendReceive()'s limit to     the assembled request before the copy rather than after it, and widen the byte counters so the sum cannot     wrap before it is tested. byte_count is also tested against U16_MAX, because it is stored in the 16-bit     pSMB->ByteCount. That becomes reachable when CIFSMaxBufSize is raised at module load, where it may be set     as high as 1024*127: with a 5-byte EA name and a 65521-byte value, count is exactly U16_MAX while     byte_count is 65556, and cpu_to_le16() would truncate it to 20 and transmit a frame whose ByteCount does     not match its length. Testing byte_count covers count as well, since byte_count is the larger of the two     and count's only 16-bit consumer is written after this point. check_add_overflow() is evaluated first so     that total_len is assigned before it is reported. (CVE-2026-99109)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
373330	Linux Distros 未修補弱點：CVE-2026-99109	Nessus	Misc.	10/28/2026	10/29/2026	medium
373330	Linux Distros 未修补的漏洞：CVE-2026-99109	Nessus	Misc.	10/28/2026	10/29/2026	medium
373330	Linux Distros のパッチ未適用の脆弱性: CVE-2026-99109	Nessus	Misc.	10/28/2026	10/29/2026	medium
373330	Linux Distros Unpatched Vulnerability : CVE-2026-99109	Nessus	Misc.	10/28/2026	10/29/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium