Amazon Linux 2023：runfinch-finch (ALAS2023-2026-1420)

medium Nessus Plugin ID 298115

語言:

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，會受到 ALAS2023-2026-1420 公告中所提及的多個弱點影響。

net/httpRequest.ParseForm 中的記憶體耗盡 (CVE-2025-61726)

封存/zip剖析任意 ZIP 封存時發生拒絕服務 (CVE-2025-61728)

crypto/tls可能在不正確的加密層級處理交握訊息 (CVE-2025-61730)

cmd/go繞過旗標清理可導致任意程式碼執行 (CVE-2025-61731)

cmd/go叫用工具鏈時發生非預期的程式碼執行 (CVE-2025-68119)

crypto/tlsConfig.Clone 複製自動產生的工作階段票證金鑰工作階段恢復未考量完整憑證鏈的到期 (CVE-2025-68121)

Cosign 針對容器和二進位提供程式碼簽署和透明度。在 2.6.2 與 3.0.4版之前即使內嵌的 Rekor 項目未參照成品的摘要、簽章或公開金鑰Cosign 套件組合仍可特製為可成功驗證成品。驗證 Rekor 項目時Cosign 會驗證 Rekor 項目簽章並將成品的摘要、使用者提供的 Fulcio 憑證或憑證中的公開金鑰以及與 Rekor 項目內容進行比較的成品簽章。如果沒有這些比較Cosign 會將來自 Rekor 的任何回應視為有效回應。已入侵使用者身分或簽署金鑰的惡意執行者可透過納入任何任意 Rekor 項目建構有效的 Cosign 套件組合進而防止使用者稽核簽署事件。
此問題已在 2.6.2、3.0.4 和 CVE-2026-22703 版本中修正。

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。