Amazon Linux 2：runfinch-finch，--advisory ALAS2DOCKER-2026-117 (ALASDOCKER-2026-117)

high Nessus Plugin ID 314580

語言:

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 runfinch-finch 版本早於 1.17.0-1。因此，它會受到 ALAS2DOCKER-2026-117 公告中所提及的多個弱點影響。

SSH 用戶端在預期類型化回應時收到 SSH_AGENT_SUCCESS 將會發生錯誤，並導致用戶端進程提前終止。（CVE-2025-47913）

未正確檢查迴圈中的算術過度匯總變數是否有 Go 編譯器 (cmd/complie) 反向溢位或溢位。因此，編譯器會允許在運行時發生無效索引，可能導致使用受影響 Go 版本編譯的程式發生記憶體破壞。(CVE-2026-27143)

Go 編譯器 (cmd/compile) 未正確處理 no-op 介面轉換，導致無法正確判斷非重疊記憶體移動，可能導致以受影響的 Go 版本編譯的程式在運行時間發生記憶體損毀。 (CVE-2026-27144)

在鏈結構建期間，當在 VerifyOptions.Intermediates 中傳遞大量中繼憑證時，未正確限制已完成的工作量，這可導致拒絕服務。這會影響 crypto/x509 的直接使用者和 crypto/tls 的使用者。 (CVE-2026-32280)

當憑證鏈中的憑證含有大量原則對應時，驗證使用原則的憑證鏈會意外低效，進而可能造成拒絕服務。這只會影響對其他受信任憑證鏈結的驗證，這些憑證鍊是由 VerifyOptions.Roots CertPool 中或系統憑證集區中的 root CA 所發出。 (CVE-2026-32281)

在 Linux 上，當 chmod 作業進行中時，若以符號連結取代 Root.Chmod 的目標，則 Chmod 可在符號連結目標上執行，即使目標位於 root 之外也是如此。
(CVE-2026-32282)

如果 TLS 連線的一端在單一記錄中傳送多個交握後金鑰更新訊息，連線可能會鎖死，造成資源消耗不受控制。這可導致拒絕服務。這只會影響 TLS 1.3。 (CVE-2026-32283)

讀取惡意特製的封存 (其中含有大量以舊版 GNU 疏鬆對應格式編碼的疏鬆區域) 時，tar.Reader 會配置無限量的記憶體。 (CVE-2026-32288)

未正確跨 JS 範本常值的範本分支追踪內容，可能導致不正確的內容逸出。這可造成 JS 範本常值內的動作錯誤逸出，進而導致 XSS 弱點。 (CVE-2026-32289)

BuildKit 是一種工具組，可將原始程式碼轉換成有效率、表現力強且可重複的構建成品。在版本 0.28.1之前，對 Git URL 片段子目錄元件的驗證不足，可能允許存取已簽出的 Git 存放庫根目錄之外的檔案。可能的存取僅限於相同掛載檔案系統上的檔案。此問題已在 v0.28.1 版中修正：此問題只會影響使用具有子路徑元件的 Git URL 的組建。因應措施是避免從不受信任的來源建置 Dockerfile，或使用不受信任的 Git 存放庫中的 subdir 元件，其中 subdir 元件可能指向符號連結。（CVE-2026-33748）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。