偵測

Amazon Linux 2023：aspnetcore-runtime-9.0、aspnetcore-runtime-dbg-9.0、aspnetcore-targeting-pack-9.0 (ALAS2023-2026-3248)

critical Nessus Plugin ID 370300

語言:

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，它會受到 ALAS2023-2026-3248 公告中所提及的多個弱點影響。

 在 ASP.NET Core 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路拒絕服務。(CVE-2026-109468)

 .NET 中不受控制的遞迴允許未經授權的攻擊者拒絕透過網路提供的服務。
 (CVE-2026-58280)

 將敏感資訊插入 .NET 中傳送的資料中，可讓未經授權的攻擊者透過網路洩露資訊。（CVE-2026-66822）

 .NET 中低效的演算法複雜性允許未經授權的攻擊者拒絕透過網路提供的服務。
 (CVE-2026-69651)

 .NET Framework 中的越界寫入允許未經授權的攻擊者透過網路執行程式碼。
 (CVE-2026-70007)

 在 ASP.NET Core 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路拒絕服務。(CVE-2026-70159)

 ASP.NET Core 中的不當驗證允許未經授權的攻擊者透過網路提升權限。（CVE-2026-70175）

 透過在 ASP.NET Core 中欺騙進行驗證繞過，授權攻擊者可透過網路提升權限。（CVE-2026-70179）

 在 ASP.NET Core 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路拒絕服務。(CVE-2026-70181)

 在 ASP.NET Core 中使用同步不當的共用資源 （「爭用情形」） 並行執行，授權攻擊者可透過網路提升權限。（CVE-2026-70183）

 ASP.NET Core 中的鎖死允許未經授權的攻擊者拒絕透過網路提供的服務。（CVE-2026-70186）

 ASP.NET Core 中對 http 要求的不一致解譯 （「http 要求/回應走私」） 允許未經授權的攻擊者透過網路繞過安全功能。（CVE-2026-70188）

 ASP.NET Core 中低效的演算法複雜性允許未經授權的攻擊者拒絕透過網路提供的服務。（CVE-2026-70196）

 .NET 中不受信任資料的反序列化允許未經授權的攻擊者透過網路執行程式碼。
 (CVE-2026-83520)

 .NET 中低效的演算法複雜性允許未經授權的攻擊者拒絕透過網路提供的服務。
 (CVE-2026-84008)

 ASP.NET Core 中對 http 要求的不一致解譯 （「http 要求/回應走私」） 允許未經授權的攻擊者透過網路執行竄改。（CVE-2026-88092）

 .NET 中檔案存取前的不正確連結解析 （「連結追蹤」）允許授權攻擊者在本機提高權限。（CVE-2026-96225）

 ASP.NET Core 中網頁產生期間輸入的不當無效化 （「跨網站指令碼」）允許未經授權的攻擊者透過網路執行程式碼。（CVE-2026-96230）

 .NET 中檔案存取前的不正確連結解析 （「連結追蹤」）允許授權攻擊者在本機提高權限。（CVE-2026-96231）

 ASP.NET Core 中的越界寫入允許未經授權的攻擊者拒絕網路上的服務。
 (CVE-2026-96233)

 在 ASP.NET Core 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路拒絕服務。(CVE-2026-96236)

 在 .NET 中包含不受信任控制球體的功能，可讓未經授權的攻擊者透過網路執行程式碼。（CVE-2026-96237）

 .NET 中的來源驗證錯誤允許未經授權的攻擊者透過網路繞過安全性功能。（CVE-2026-96238）

 .NET 中低效的演算法複雜性允許未經授權的攻擊者拒絕透過網路提供的服務。
 (CVE-2026-96958)

 在 .NET 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路觸發拒絕服務攻擊。(CVE-2026-96959)

 .NET 中的非對稱資源消耗 （放大） 允許未經授權的攻擊者拒絕透過網路提供的服務。（CVE-2026-96960）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

執行「dnf update dotnet9.0 --releasever 2023.12.20261021」或「dnf update --advisory ALAS2023-2026-3248 --releasever 2023.12.20261021」以更新系統。

另請參閱

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3248.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-109468.html

https://explore.alas.aws.amazon.com/CVE-2026-58280.html

https://explore.alas.aws.amazon.com/CVE-2026-66822.html

https://explore.alas.aws.amazon.com/CVE-2026-69651.html

https://explore.alas.aws.amazon.com/CVE-2026-70007.html

https://explore.alas.aws.amazon.com/CVE-2026-70159.html

https://explore.alas.aws.amazon.com/CVE-2026-70175.html

https://explore.alas.aws.amazon.com/CVE-2026-70179.html

https://explore.alas.aws.amazon.com/CVE-2026-70181.html

https://explore.alas.aws.amazon.com/CVE-2026-70183.html

https://explore.alas.aws.amazon.com/CVE-2026-70186.html

https://explore.alas.aws.amazon.com/CVE-2026-70188.html

https://explore.alas.aws.amazon.com/CVE-2026-70196.html

https://explore.alas.aws.amazon.com/CVE-2026-83520.html

https://explore.alas.aws.amazon.com/CVE-2026-84008.html

https://explore.alas.aws.amazon.com/CVE-2026-88092.html

https://explore.alas.aws.amazon.com/CVE-2026-96225.html

https://explore.alas.aws.amazon.com/CVE-2026-96230.html

https://explore.alas.aws.amazon.com/CVE-2026-96231.html

https://explore.alas.aws.amazon.com/CVE-2026-96233.html

https://explore.alas.aws.amazon.com/CVE-2026-96236.html

https://explore.alas.aws.amazon.com/CVE-2026-96237.html

https://explore.alas.aws.amazon.com/CVE-2026-96238.html

https://explore.alas.aws.amazon.com/CVE-2026-96958.html

https://explore.alas.aws.amazon.com/CVE-2026-96959.html

https://explore.alas.aws.amazon.com/CVE-2026-96960.html

Plugin 詳細資訊

嚴重性: Critical

ID: 370300

檔案名稱: al2023_ALAS2023-2026-3248.nasl

版本: 1.3

類型: Local

代理程式: unix

已發布: 2026/10/22

已更新: 2026/10/30

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.9

百分位數: 58.52

CVSS v2

風險因素: Critical

基本分數: 10

時間性分數: 7.4

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 評分資料來源: CVE-2026-96230

CVSS v3

風險因素: Critical

基本分數: 9.4

時間性分數: 8.2

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

CVSS 評分資料來源: CVE-2026-88092

弱點資訊

CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:aspnetcore-runtime-9.0, p-cpe:/a:amazon:linux:aspnetcore-runtime-dbg-9.0, p-cpe:/a:amazon:linux:aspnetcore-targeting-pack-9.0, p-cpe:/a:amazon:linux:dotnet-apphost-pack-9.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-apphost-pack-9.0, p-cpe:/a:amazon:linux:dotnet-host-debuginfo, p-cpe:/a:amazon:linux:dotnet-host, p-cpe:/a:amazon:linux:dotnet-hostfxr-9.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-hostfxr-9.0, p-cpe:/a:amazon:linux:dotnet-runtime-9.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-runtime-9.0, p-cpe:/a:amazon:linux:dotnet-runtime-dbg-9.0, p-cpe:/a:amazon:linux:dotnet-sdk-9.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-sdk-9.0-source-built-artifacts, p-cpe:/a:amazon:linux:dotnet-sdk-9.0, p-cpe:/a:amazon:linux:dotnet-sdk-aot-9.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-sdk-aot-9.0, p-cpe:/a:amazon:linux:dotnet-sdk-dbg-9.0, p-cpe:/a:amazon:linux:dotnet-targeting-pack-9.0, p-cpe:/a:amazon:linux:dotnet-templates-9.0, p-cpe:/a:amazon:linux:dotnet9.0-debugsource, p-cpe:/a:amazon:linux:dotnet, p-cpe:/a:amazon:linux:netstandard-targeting-pack-2.1

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2026/10/22

弱點發布日期: 2026/10/13

參考資訊

CVE: CVE-2026-109468, CVE-2026-58280, CVE-2026-66822, CVE-2026-69651, CVE-2026-70007, CVE-2026-70159, CVE-2026-70175, CVE-2026-70179, CVE-2026-70181, CVE-2026-70183, CVE-2026-70186, CVE-2026-70188, CVE-2026-70196, CVE-2026-83520, CVE-2026-84008, CVE-2026-88092, CVE-2026-96225, CVE-2026-96230, CVE-2026-96231, CVE-2026-96233, CVE-2026-96236, CVE-2026-96237, CVE-2026-96238, CVE-2026-96958, CVE-2026-96959, CVE-2026-96960

IAVA: 2026-A-1126