遠端主機上安裝的 runfinch-finch 版本早於 1.19.0-1。因此，它會受到 ALAS2DOCKER-2026-151 公告中所提及的多個弱點影響。

    當用戶端傳送 Trailer 標頭時，HTTP 伺服器會在內部使用標頭值來填入傳遞至伺服器處理常式的 Request.Trailer 對應。因為 Request.Trailer 是對應，所以每個專案都會產生記憶體額外負荷。針對 HTTP/2 伺服器，惡意用戶端可以藉由傳送宣告大量欄位的 Trailer 標頭來利用此弱點，導致伺服器配置不成比例的記憶體量，同時繞過 Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制。此漏洞不適用於 HTTP/1 伺服器，這些伺服器不支援透過一個 TCP 連線多工處理大量要求，並且其 Server.MaxHeaderBytes 的計算方式不同。Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制現在會套用至預告片標頭中宣告的預告片欄位。

    注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81857NOTE: 已修正：
    https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b （go1.27.2）注意：修正者：
    https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78659）

    如果以 BuildKit 常駐程式啟動 --cdi-disabled ，當組建嘗試使用 CDI 裝置時，可能會導致常駐程式錯誤。這可能是惡意或意外發生的。（CVE-2026-93316）

    控制登錄檔或 OCI 配置 Blob 來源的未經驗證攻擊者可提供與宣告摘要不符的 Blob 內容。產生的快照可能會快取在該摘要下，並由稍後的受害者組建重複使用，從而損害組建輸入的完整性。（CVE-2026-93317）

    惡意映像可以通告來自另一個映像的 DiffID，同時包含不同的圖層內容。在受影響的版本中，BuildKit 可以使用公告的 DiffID 來衍生快取和快照集身分識別，而無需驗證它們是否符合實際層內容。

    如果具有共用或持續性快取的 BuildKit 常駐程式首先處理此類惡意映像，則隨後使用受害者映像的組建可能會掛載攻擊者控制的圖層內容作為基礎映像。這可允許惡意映像中的程式碼在受害者組建中執行，例如取代常用執行的路徑，例如 /bin/sh。攻擊者控制的程式碼可能會讀取裝載到組建中的組建密碼、存取其他組建資源、變更輸出成品，或停擺組建。

    此問題會影響一般快照器和延遲提取快照器 （例如 stargz）。（CVE-2026-93318）

    惡意外部 BuildKit 前端可以使用內部 API 傳送要求，該 API 可為資料爭用建立條件，進而導致 BuildKit 常駐程式錯誤。（CVE-2026-93319）

    BuildKit 可能會被誘騙使用需要一般檔案的特殊檔案 inode 執行檔案動作。特殊檔案可能會封鎖作業，或在 root 背景工作角色上，允許意外的主機裝置存取。
    (CVE-2026-93320)

    惡意前端可以提交導致 buildkitdd 錯誤並終止的 LLB 定義，從而中斷在該精靈上執行的所有構建。（CVE-2026-93321）

    惡意前端可以提交導致 buildkitdd 錯誤並終止的 LLB 定義，從而中斷在該精靈上執行的所有構建。（CVE-2026-93322）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2：runfinch-finch (ALASDOCKER-2026-151)

high Nessus Plugin ID 371810

版本 1.1