Amazon Linux 2023 ： golang-github-burntsushi-toml-test， golang-github-burntsushi-toml-test-devel （ALAS2023-2026-1750）
medium Nessus Plugin ID 316836
語言:
概要
遠端 Amazon Linux 2023 主機缺少一個安全性更新。說明
因此，它會受到 ALAS2023-2026-1750 公告中所提及的多個弱點影響。net/http：Request.ParseForm 中的記憶體耗盡弱點 (CVE-2025-61726)
archive/zip：剖析任意 ZIP 封存時發生拒絕服務 (CVE-2025-61728)
在 HostnameError.Error（） 中，建構錯誤字串時，要列印的主機數量沒有限制。此外，錯誤字串是透過重複字串串聯來建構的，導致二次執行階段。因此，惡意執行者提供的憑證可能會導致過多的資源消耗。（CVE-2025-61729）
crypto/tls：可能以不正確的加密層級處理交握訊息 (CVE-2025-61730)
在 Unix 平臺上，使用 File.ReadDir 或 File.Readdir 列出目錄的內容時，傳回的 FileInfo 可能會參考開啟檔案的根目錄之外的檔案。此逸出的影響僅限於從檔案系統上的任意位置讀取 lstat 提供的中繼資料，而不允許讀取或寫入 root 之外的檔案。（CVE-2026-27139）
將 URL 插入 HTML 中繼標記的 content 屬性的動作不會逸出。如果中繼標籤也具有值 refresh 的 http-equiv 屬性，則允許 XSS。新增了 GODEBUG 設定 htmlmetacontenturlescape，可用於透過設定 htmlmetacontenturlescape=0 來停用 url= 後面的 meta content 屬性動作中的逸出 URL。（CVE-2026-27142）
在鏈結構建期間，當在 VerifyOptions.Intermediates 中傳遞大量中繼憑證時，未正確限制已完成的工作量，這可導致拒絕服務。這會影響 crypto/x509 的直接使用者和 crypto/tls 的使用者。 (CVE-2026-32280)
在 Linux 上，當 chmod 作業進行中時，若以符號連結取代 Root.Chmod 的目標，則 Chmod 可在符號連結目標上執行，即使目標位於 root 之外也是如此。
(CVE-2026-32282)
未正確跨 JS 範本常值的範本分支追踪內容，可能導致不正確的內容逸出。這可造成 JS 範本常值內的動作錯誤逸出，進而導致 XSS 弱點。 (CVE-2026-32289)
將 LookupCNAME 與 cgo DNS 解析器搭配使用時，過長的 CNAME 回應可能會觸發 C 記憶體雙重釋放並當機。（CVE-2026-33811）
處理 HTTP/2 SETTINGS 幀時，如果傳輸收到值為 0 的SETTINGS_MAX_FRAME_SIZE，則將進入寫入 CONTINUATION 幀的無限循環。（CVE-2026-33814）
到達 ParseAddress、ParseAddressList 和 ParseDate 的精心設計的輸入能夠觸發過多的 CPU 耗盡和記憶體配置。（CVE-2026-39820）
CVE-2026-27142已修正 URL 未在標籤<content>屬性內<meta>正確逸出的弱點。如果 URL 內容在屬性內 <content> 的「=」符文周圍插入 ASCII 空格，則逸出器將無法以類似的方式逸出它，從而導致 XSS。（CVE-2026-39823）
ReverseProxy 可以轉送包含 Rewrite 函式不可見參數的查詢。當與 Rewrite 函式或剖析查詢參數的 Director 函式搭配使用時，ReverseProxy 會清理轉送的要求，以移除 URL 未剖析的查詢參數。ParseQuery。ReverseProxy 不會考慮 ParseQuery 對查詢參數總數的限制 （由 GODEBUG=urlmaxqueryparams=N 控制）。這可允許 ReverseProxy 轉送包含 Rewrite 函式不可見之查詢參數的要求。例如，查詢 a1=x&a2=x&...&a10000=x&hidden=y 可以轉送參數 hidden=y，同時從 Proxy 的 Rewrite 函式中隱藏它。（CVE-2026-39825）
如果受信任的範本作者要撰寫包含 <script> 空 'type' 屬性或帶有 ASCII 空格的 'type' 屬性的標籤，則範本的執行將錯誤地逸出傳遞到區塊中 <script> 的任何資料。（CVE-2026-39826）
根據 RFC 5322 剖析電子郵件地址時，病態輸入可能會透過 consumePhrase 導致 DoS。（CVE-2026-42499）
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
Run 'dnf update golang-github-burntsushi-toml-test --releasever 2023.11.20260526' or or 'dnf update --advisory ALAS2023-2026-1750 --releasever 2023.11.20260526' to update your system.另請參閱
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-1750.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2025-61726.html
https://explore.alas.aws.amazon.com/CVE-2025-61728.html
https://explore.alas.aws.amazon.com/CVE-2025-61729.html
https://explore.alas.aws.amazon.com/CVE-2025-61730.html
https://explore.alas.aws.amazon.com/CVE-2026-27139.html
https://explore.alas.aws.amazon.com/CVE-2026-27142.html
https://explore.alas.aws.amazon.com/CVE-2026-32280.html
https://explore.alas.aws.amazon.com/CVE-2026-32282.html
https://explore.alas.aws.amazon.com/CVE-2026-32289.html
https://explore.alas.aws.amazon.com/CVE-2026-33811.html
https://explore.alas.aws.amazon.com/CVE-2026-33814.html
https://explore.alas.aws.amazon.com/CVE-2026-39820.html
https://explore.alas.aws.amazon.com/CVE-2026-39823.html
https://explore.alas.aws.amazon.com/CVE-2026-39825.html
Plugin 詳細資訊
嚴重性: Medium
ID: 316836
檔案名稱: al2023_ALAS2023-2026-1750.nasl
版本: 1.2
類型: Local
代理程式: unix
已發布: 2026/5/26
已更新: 2026/5/27
支援的感應器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Medium
基本分數: 6.4
時間性分數: 5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: CVE-2026-32289
CVSS v3
風險因素: Medium
基本分數: 6.4
時間性分數: 5.8
媒介: CVSS:3.0/AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2026-32282
弱點資訊
CPE: p-cpe:/a:amazon:linux:golang-github-burntsushi-toml-test-devel, p-cpe:/a:amazon:linux:golang-github-burntsushi-toml-test-debuginfo, p-cpe:/a:amazon:linux:golang-github-burntsushi-toml-test-debugsource, p-cpe:/a:amazon:linux:golang-github-burntsushi-toml-test, cpe:/o:amazon:linux:2023
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/5/25
弱點發布日期: 2025/12/2
參考資訊
CVE: CVE-2025-61726, CVE-2025-61728, CVE-2025-61729, CVE-2025-61730, CVE-2026-27139, CVE-2026-27142, CVE-2026-32280, CVE-2026-32282, CVE-2026-32289, CVE-2026-33811, CVE-2026-33814, CVE-2026-39820, CVE-2026-39823, CVE-2026-39825, CVE-2026-39826, CVE-2026-42499
IAVB: 2025-B-0194-S, 2026-B-0016-S, 2026-B-0055-S, 2026-B-0089-S, 2026-B-0120