Amazon Linux 2：iscsi-initiator-utils， --advisory ALAS2-2026-3897 （ALAS-2026-3897）
medium Nessus Plugin ID 341873
語言:
概要
遠端 Amazon Linux 2 主機缺少安全性更新。說明
遠端主機上安裝的 iscsi-initiator-utils 版本早於 6.2.0.874-7。因此，它會受到 ALAS2-2026-3897 公告中所提及的多個弱點影響。open-iscsi： open-iscsi： idbm 記錄剖析中的堆疊緩衝區溢位 （CVE-2026-18724）
open-iscsi： open-iscsi： iscsiuio ICMPv6 回應處理中的越界存取 （CVE-2026-18725）
在 open-iscsi 中發現一個缺陷。此弱點允許同一區域網路區段上的遠端攻擊者在 iscsiuio 精靈中造成拒絕服務 （DoS）。攻擊者透過傳送特製的網際網路控制訊息通訊協定版本 6 （ICMPv6） 路由器通告和零長度選項，可以觸發無限迴圈。這會導致持續的 CPU 使用率，導致常駐程式無回應並影響系統可用性。IPv6 承載較短存在越界讀取的次要風險，但尚未確認記憶體損毀或資料外洩。（CVE-2026-18726）
在 open-iscsi 的 iscsiuio 元件中發現缺陷。此弱點涉及 IPv6 動態主機組態通訊協定 （DHCPv6） 封包剖析期間的整數反向溢位和越界讀取。
具體而言，特製的 DHCPv6 通告具有較短使用者資料包通訊協定 （UDP） 長度的流量可能會導致 DHCPv6 負載長度下溢。相鄰網段上未經身份驗證的攻擊者可以在用戶端處於作用中的 DHCPv6 交換狀態時傳送特製的 IPv6 UDP 流量來利用此漏洞，從而因處理程序損毀或服務中斷而導致拒絕服務。（CVE-2026-18727）
在 open-iscsi 中發現一個缺陷。「iscsiuio」元件中的整數反向溢位弱點 （特別是在 IPv4 動態主機組態通訊協定 （DHCP） 剖析期間） 允許同一區域網路區段上的遠端攻擊者造成拒絕服務。透過傳送特製的 IPv4/UDP DHCP 回覆，攻擊者可以觸發越界讀取，導致「iscsiuio」進程崩潰。此問題會影響「iscsiuio」主動處理 IPv4 DHCP 流量的系統。（CVE-2026-18728）
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行 'yum update iscsi-initiator-utils' 或 'yum update --advisory ALAS2-2026-3897' 以更新您的系統。另請參閱
https://alas.aws.amazon.com//AL2/ALAS2-2026-3897.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-18724.html
https://explore.alas.aws.amazon.com/CVE-2026-18725.html
https://explore.alas.aws.amazon.com/CVE-2026-18726.html
Plugin 詳細資訊
嚴重性: Medium
ID: 341873
檔案名稱: al2_ALAS-2026-3897.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/8/31
已更新: 2026/8/31
支援的感應器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Low
分數: 3
百分位數: 23.61
CVSS v2
風險因素: Medium
基本分數: 6.1
時間性分數: 4.5
媒介: CVSS2#AV:A/AC:L/Au:N/C:N/I:N/A:C
CVSS 評分資料來源: CVE-2026-18728
CVSS v3
風險因素: Medium
基本分數: 6.5
時間性分數: 5.7
媒介: CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:iscsi-initiator-utils-debuginfo, p-cpe:/a:amazon:linux:iscsi-initiator-utils-devel, p-cpe:/a:amazon:linux:iscsi-initiator-utils-iscsiuio, p-cpe:/a:amazon:linux:iscsi-initiator-utils
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/8/31
弱點發布日期: 2026/8/12
參考資訊
CVE: CVE-2026-18724, CVE-2026-18725, CVE-2026-18726, CVE-2026-18727, CVE-2026-18728