Amazon Linux 2：amazon-ssm-agent (ALAS-2026-3933)
high Nessus Plugin ID 351032
語言:
概要
遠端 Amazon Linux 2 主機缺少安全性更新。說明
遠端主機上安裝的 amazon-ssm-agent 版本低於 3.3.5226.0-1。因此，它會受到 ALAS2-2026-3933 公告中所提及的多個弱點影響。由於未加密用戶端 hello 中預先共用金鑰身分的洩漏，使用加密用戶端 Hello 的交握可能會被被動網路觀察者解除匿名化。（CVE-2026-42505）
go-git 是一個用純 Go 編寫的可擴展 git 實作庫。在 6.0.0-alpha.5 之前 5.19.2 ，工作樹狀結構作業 （包括簽出、狀態和新增） 會解析工作樹狀結構內的符號連結，而不會將解析限制在工作樹狀結構邊界，因此當複製儲存庫並使用其工作樹狀結構作業時，包含符號連結的惡意製作儲存庫可能會導致 go-git 讀取或寫入預期工作目錄之外的檔案。版本 5.19.2 和 6.0.0-alpha.5。
(CVE-2026-71556)
go-git 是一個用純 Go 編寫的可擴展 git 實作庫。在 6.0.0-alpha.5 之前 5.19.2 ，參照名稱在用於建構參照儲存目錄下的磁碟路徑之前不會經過清理，因此惡意製作的參照名稱 （例如包含目錄遊走序列） 可能會導致 go-git 在預期的參照儲存目錄之外寫入檔案。5.19.2版本和 6.0.0-alpha.5 已修正此問題。（CVE-2026-71557）
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行「yum update amazon-ssm-agent」或「yum update --advisory ALAS2-2026-3933」以更新您的系統。另請參閱
https://alas.aws.amazon.com//AL2/ALAS2-2026-3933.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-42505.html
Plugin 詳細資訊
嚴重性: High
ID: 351032
檔案名稱: al2_ALAS-2026-3933.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/9/29
已更新: 2026/9/29
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.5
百分位數: 95.89
CVSS v2
風險因素: High
基本分數: 8.5
時間性分數: 6.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:P
CVSS 評分資料來源: CVE-2026-71556
CVSS v3
風險因素: High
基本分數: 7.1
時間性分數: 6.4
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:amazon-ssm-agent
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/9/28
弱點發布日期: 2026/7/7
參考資訊
CVE: CVE-2026-42505, CVE-2026-71556, CVE-2026-71557
IAVB: 2026-B-0193-S