Amazon Linux 2 ： rclone， --advisory ALAS2-2026-3264 （ALAS-2026-3264）

critical Nessus Plugin ID 311209

語言:

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 rclone 版本低於 1.55.1-1。因此，它會受到 ALAS2-2026-3264 公告中提及的一個弱點影響。

gRPC-Go 是 Go（Go）語言中 gRPC 的實作。更早 1.79.3 版本的授權繞過是因為對 HTTP/2 ':p ath' 偽標頭的錯誤輸入驗證所致。gRPC-Go 伺服器在路由邏輯上過於寬鬆，接受的請求中 ':p ath' 會省略必須的前斜杠（例如，'Service/Method' 而非 '/Service/Method'）。雖然伺服器成功將這些請求路由到正確的處理程序，但授權攔截器（包括官方的 'grpc/authz' 套件）會評估原始且非正典的路徑字串。因此，使用以 '/' 開頭的典型路徑定義的拒絕規則無法與收到的請求匹配，若存在備用允許規則，則可繞過該政策。這影響了使用基於路徑授權攔截器的 gRPC-Go 伺服器，例如官方 RBAC 實作中的「google.golang.org/grpc/authz」或依賴「資訊」的自訂攔截器。FullMethod」或「grpc.」方法（ctx）';且有安全政策的 AND 包含對標準路徑的特定拒絕規則，但預設允許其他請求（備援允許規則）。這個漏洞容易被攻擊者利用，攻擊者可以直接將帶有錯誤標頭的 ':p ath' 原始 HTTP/2 幀傳送到 gRPC 伺服器。版本 1.79.3 中的修正確保任何以「:p ath」為開頭且不以斜線開頭的請求，會立即以「codes.」拒絕。未實作」錯誤，阻止其以非正典路徑字串抵達授權攔截器或處理器。雖然升級是最安全且推薦的路徑，但使用者可透過以下方法之一來緩解漏洞：使用驗證攔截器（推薦緩解方法）;基礎設施層級的正常化;和/或政策強化。（CVE-2026-33186）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。