Amazon Linux 2023：yq （ALAS2023-2026-1582）

medium Nessus Plugin ID 306237

語言:

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，它會受到 ALAS2023-2026-1582 公告中所提及的多個弱點影響。

golang.org/x/net/html 中的 html.Parse 函式在處理特定輸入時具有二次方剖析複雜性，如果攻擊者提供特製的 HTML 內容，可導致拒絕服務 (DoS)。
(CVE-2025-47911)

golang.org/x/net/html 中的 html.Parse 函式在處理特定輸入時具有無限剖析迴圈，如果攻擊者提供特製的 HTML 內容，可導致拒絕服務 (DoS)。
(CVE-2025-58190)

crypto/tls：可能以不正確的加密層級處理交握訊息 (CVE-2025-61730)

網址。剖析未充分驗證主機/授權單位元件，並接受一些無效的 URL。
(CVE-2026-25679)

在 Unix 平臺上，使用 File.ReadDir 或 File.Readdir 列出目錄的內容時，傳回的 FileInfo 可能會參考開啟檔案的根目錄之外的檔案。此逸出的影響僅限於從檔案系統上的任意位置讀取 lstat 提供的中繼資料，而不允許讀取或寫入 root 之外的檔案。（CVE-2026-27139）

將 URL 插入 HTML 中繼標記的 content 屬性的動作不會逸出。如果中繼標籤也具有值 refresh 的 http-equiv 屬性，則允許 XSS。新增了 GODEBUG 設定 htmlmetacontenturlescape，可用於透過設定 htmlmetacontenturlescape=0 來停用 url= 後面的 meta content 屬性動作中的逸出 URL。（CVE-2026-27142）

在鏈結構建期間，當在 VerifyOptions.Intermediates 中傳遞大量中繼憑證時，未正確限制已完成的工作量，這可導致拒絕服務。這會影響 crypto/x509 的直接使用者和 crypto/tls 的使用者。 (CVE-2026-32280)

讀取惡意特製的封存 (其中含有大量以舊版 GNU 疏鬆對應格式編碼的疏鬆區域) 時，tar.Reader 會配置無限量的記憶體。 (CVE-2026-32288)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。