Amazon Linux 2amazon-ecr-credential-helper --advisory ALAS2ECS-2025-087 (ALASECS-2025-087)

high Nessus Plugin ID 281810

語言:

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 amazon-ecr-credential-helper 版本低於 0.11.0-2。因此，會受到 ALAS2ECS-2025-087 公告中所提及的多個弱點影響。

crypto/x509排除的子網域限制未限制萬用字元 SAN

憑證鏈中已排除的子網域限制未限制在分葉憑證中使用萬用字元 SAN。例如，排除子網域 test.example.com 的限制條件並未阻止分葉憑證宣告 SAN *.example.com。 (CVE-2025-61727)

在 HostnameError.Error() 中建構錯誤字串時對於要列印的主機數量沒有限制。此外錯誤字串是由重複的字串串連所建構進而導致二次方的執行時間。因此惡意執行者提供的憑證可導致過度消耗資源。 (CVE-2025-61729)

使用 Entry.Writer() 記錄大於 64KB 且不含新行字元的單行承載時github.com/sirupsen/logrus 中存在一個拒絕服務弱點。由於內部 bufio.Scanner 的限制讀取會因 token 太長而失敗且寫入器管道已關閉使 Writer() 無法使用並造成應用程式不可用 (DoS)。這會影響 < 1.8.3、 1.9.0和 1.9.2版。
此問題已在 1.8.3、 1.9.1與 1.9.3+ 中修正其中的輸入已區塊鏈結即使記錄到錯誤寫入器仍可繼續運作。 (CVE-2025-65637)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。