Amazon Linux 2：pcs (ALAS-2025-2856)

high Nessus Plugin ID 237472

語言:

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 pcs 版本低於 0.9.169-3。因此，此版本會受到 ALAS2-2025-2856 公告中提及的一個弱點影響。

Rack 是一種模組化的 Ruby web 伺服器介面。在 2.2.14、 3.0.16和 3.1.14版之前`Rack::QueryParser` 會將查詢字串和 `application/x-www-form-urlencoded` 內文剖析為 Ruby 資料結構而不會對參數數量施加任何限制進而允許攻擊者可傳送具有極大量參數的要求。此弱點的產生是因為 `Rack::QueryParser` 反覆使用每個 `&` 分隔的金鑰值對並將其新增至 Hash 卻未對參數的總數強制執行上限。這可讓攻擊者傳送含有數十萬 (或更多) 參數的單一要求進而在剖析期間消耗過量記憶體與 CPU。攻擊者可傳送特製的 HTTP 要求來觸發拒絕服務這可造成記憶體耗盡或釘選 CPU 資源進而使 Rack 伺服器停止或損毀。這會導致服務完全中斷，直到受影響的背景工作重新啟動為止。 2.2.14、 3.0.16和 3.1.14 版可修正該問題。目前也有其他一些可用的緩解方法。可使用中介軟體來強制執行最大查詢字串大小或參數計數或是採用反向代理伺服器 (例如 Nginx) 來限制要求大小並拒絕過大的查詢字串或內文。
在 Web 伺服器或 CDN 層級限制要求內文大小和查詢字串長度是有效的緩解方法。 (CVE-2025-46727)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。