Rocky Linux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1781004077 公告中提及的多個弱點影響。

  - 在鏈結建置期間，在 VerifyOptions.Intermediates 中傳遞大量中繼憑證時，未正確限制完成的工作量，這可能會導致拒絕服務。這會影響 crypto/x509 的直接使用者和 crypto/tls 的使用者。 (CVE-2026-32280)

  - 在 Linux 上，如果在 chmod 作業進行時將 Root.Chmod 的目標取代為符號連結，則 Chmod 可以在符號連結的目標上運作，即使目標位於根目錄之外。Linux fchmodat 系統調用會無訊息地忽略 AT_SYMLINK_NOFOLLOW 旗標，Root.Chmod 會使用該旗標來避免符號連結遊走。Root.Chmod 在採取行動之前會檢查其目標，如果目標是位於根目錄之外的符號連結，則傳回錯誤，因此影響僅限於在檢查和操作之間將目標替換為符號連結的情況。（CVE-2026-32282）

  - 如果 TLS 連線的一方在單一記錄中的交握後傳送多個金鑰更新訊息，則連線可能會鎖死，導致不受控制的資源耗用。這可導致拒絕服務。這只會影響 TLS 1.3。 (CVE-2026-32283)

  - DataRow.Decode 函式無法正確驗證欄位長度。惡意或遭入侵的 PostgreSQL 伺服器可傳送欄位長度為負的 DataRow 訊息，導致切片範圍超出範圍錯誤。（CVE-2026-32286）

  - Go JOSE 提供了 Go 中 Javascript 物件簽名和加密標準集的實現，包括對 JSON Web 加密 （JWE）、JSON Web 簽名 （JWS） 和 JSON Web 令牌 （JWT） 標準的支援。在 4.1.4 和 3.0.5 之前的版本中，如果 alg 欄位指示金鑰包裝演算法 (結尾為 KW，A128GCMKW、A192GCMKW 和 A256GCMKW 除外) 且encrypted_key 欄位為空白。當 key_wrap.go 中的 cipher.KeyUnwrap() 嘗試根據encrypted_key 的長度配置零長度或負長度的 slice 時，會發生不穩定的情況。此程式碼路徑可從 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() 存取，接著是結果物件上的 Decrypt()。請注意，parse 函式採用已接受金鑰演算法的清單。如果接受的金鑰演算法不包含任何金鑰包裝演算法，則剖析將會失敗，且應用程式不受影響。使用長度少於 16 位元組的任何加密文字參數直接呼叫 cipher.KeyUnwrap() 也會導致此錯誤，但直接呼叫此函式的情況較不常見。錯誤可導致拒絕服務。此弱點已在 4.1.4 和 3.0.5 中修正。(CVE-2026-34986)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Rocky Linux 9.6 [TuxCare] 安全性更新：osbuild-composer / osbuild-composer-core / osbuild-composer-tests / etc 多個漏洞（ALMALINUX9.6：CLSA-2026：1781004077）

medium Nessus Plugin ID 362245

找不到相依性

偵測

Rocky Linux 9.6 [TuxCare] 安全性更新：osbuild-composer / osbuild-composer-core / osbuild-composer-tests / etc 多個漏洞 （ALMALINUX9.6：CLSA-2026：1781004077）

medium Nessus Plugin ID 362245

找不到相依性

Rocky Linux 9.6 [TuxCare] 安全性更新：osbuild-composer / osbuild-composer-core / osbuild-composer-tests / etc 多個漏洞（ALMALINUX9.6：CLSA-2026：1781004077）