AlmaLinux 9.6 [TuxCare] 安全性更新：ignition / ignition-edge / ignition-grub / ignition-validate （ALMALINUX9.6：CLSA-2026：1791487723）

critical Nessus Plugin ID 365088

語言:

概要

AlmaLinux 主機缺少一個或多個安全性更新。

說明

AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1791487723 公告中所述弱點影響。

- gRPC-Go 是 gRPC 的 Go 語言實作。之前 1.79.3 的版本會因 HTTP/2 「:p ath」虛擬標頭的輸入驗證不當而導致授權繞過。gRPC-Go 伺服器的路由邏輯過於寬鬆，接受 ':p ath' 省略了強制前導斜線的請求（例如，'Service/Method' 而不是 '/Service/Method'）。雖然伺服器成功地將這些要求路由到正確的處理常式，但授權攔截器（包括官方的「grpc/authz」套件）評估了原始的、非規範的路徑字串。因此，使用標準路徑（以「/」開頭）定義的拒絕規則無法與傳入要求相符，因此如果存在後援允許規則，則允許其繞過原則。這會影響使用路徑型授權攔截器的 gRPC-Go 伺服器，例如「google.golang.org/grpc/authz」中的官方 RBAC 實作或依賴「info.FullMethod」或「grpc.方法（ctx）';具有安全性原則的 AND 包含規範路徑的特定拒絕規則，但預設允許其他要求（後援允許規則）。攻擊者可利用此弱點，攻擊者可將標頭格式錯誤的原始 HTTP/2 :p/2 畫面直接傳送至 gRPC 伺服器。版本 1.79.3 中的修正可確保任何具有「:p ath」且未以前導斜線開頭的請求會立即以「codes.Unimplemented」錯誤，使其無法連線到具有非標準路徑字串的授權攔截器或處理常式。雖然升級是最安全且建議的路徑，但使用者可以使用下列其中一種方法來緩解弱點：使用驗證攔截器（建議的緩解措施）;基礎設施層面的規範化;和/或政策強化。（CVE-2026-33186）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。