AlmaLinux 9.2 [TuxCare] 安全性更新：buildah / buildah-tests （ALMALINUX9.2：CLSA-2026：1777387432）

high Nessus Plugin ID 361374

語言:

概要

AlmaLinux 主機缺少一或多個安全性更新。

說明

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1777387432 公告中所述弱點影響。

- Go JOSE 提供了 Go 中 Javascript 物件簽名和加密標準集的實現，包括對 JSON Web 加密（JWE）、JSON Web 簽名（JWS）和 JSON Web 令牌（JWT）標準的支援。在 4.1.4 和 3.0.5 之前的版本中，如果 alg 欄位指示金鑰包裝演算法 (結尾為 KW，A128GCMKW、A192GCMKW 和 A256GCMKW 除外) 且encrypted_key 欄位為空白。當 key_wrap.go 中的 cipher.KeyUnwrap() 嘗試根據encrypted_key 的長度配置零長度或負長度的 slice 時，會發生不穩定的情況。此程式碼路徑可從 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() 存取，接著是結果物件上的 Decrypt()。請注意，parse 函式採用已接受金鑰演算法的清單。如果接受的金鑰演算法不包含任何金鑰包裝演算法，則剖析將會失敗，且應用程式不受影響。使用長度少於 16 位元組的任何加密文字參數直接呼叫 cipher.KeyUnwrap() 也會導致此錯誤，但直接呼叫此函式的情況較不常見。錯誤可導致拒絕服務。此弱點已在 4.1.4 和 3.0.5 中修正。(CVE-2026-34986)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。