偵測

Amazon Linux 2023：aspnetcore-runtime-8.0、aspnetcore-runtime-dbg-8.0、aspnetcore-targeting-pack-8.0 (ALAS2023-2026-3367)

critical Nessus Plugin ID 374355

語言:

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，它會受到 ALAS2023-2026-3367 公告中所提及的多個弱點影響。

 ASP.NET Core 中對程式碼產生的不當控制 （「程式碼插入」） 允許未經授權的攻擊者透過網路執行程式碼。（CVE-2026-102870）

 在 ASP.NET Core 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路拒絕服務。(CVE-2026-109468)

 Node.js Brotli 解碼器中的弱點可能會導致在處理特製的 Brotli 輸入時發生越界記憶體寫入。成功利用可能會導致記憶體損毀和遠端程式碼執行。
 (CVE-2026-111497)

 ASP.NET Core 中不正確的預設權限允許授權攻擊者在本機提高權限。
 (CVE-2026-114148)

 .NET 中不受控制的遞迴允許未經授權的攻擊者拒絕透過網路提供的服務。
 (CVE-2026-58280)

 .NET 中低效的演算法複雜性允許未經授權的攻擊者拒絕透過網路提供的服務。
 (CVE-2026-69651)

 .NET Framework 中的越界寫入允許未經授權的攻擊者透過網路執行程式碼。
 (CVE-2026-70007)

 在 ASP.NET Core 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路拒絕服務。(CVE-2026-70159)

 ASP.NET Core 中的不當驗證允許未經授權的攻擊者透過網路提升權限。（CVE-2026-70175）

 透過在 ASP.NET Core 中欺騙進行驗證繞過，授權攻擊者可透過網路提升權限。（CVE-2026-70179）

 在 ASP.NET Core 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路拒絕服務。(CVE-2026-70181)

 在 ASP.NET Core 中使用同步不當的共用資源 （「爭用情形」） 並行執行，授權攻擊者可透過網路提升權限。（CVE-2026-70183）

 ASP.NET Core 中的鎖死允許未經授權的攻擊者拒絕透過網路提供的服務。（CVE-2026-70186）

 .NET 中的越界寫入允許未經授權的攻擊者透過網路執行程式碼。
 (CVE-2026-70197)

 .NET 中不受信任資料的反序列化允許未經授權的攻擊者透過網路執行程式碼。
 (CVE-2026-83520)

 .NET 中低效的演算法複雜性允許未經授權的攻擊者拒絕透過網路提供的服務。
 (CVE-2026-84008)

 Active Directory 同盟服務 （AD FS） 中的不當憑證驗證允許未經授權的攻擊者透過網路執行詐騙。（CVE-2026-96222）

 .NET 中檔案存取前的不正確連結解析 （「連結追蹤」）允許授權攻擊者在本機提高權限。（CVE-2026-96225）

 .NET 中檔案存取前的不正確連結解析 （「連結追蹤」）允許授權攻擊者在本機提高權限。（CVE-2026-96231）

 ASP.NET Core 中的越界寫入允許未經授權的攻擊者拒絕網路上的服務。
 (CVE-2026-96233)

 在 ASP.NET Core 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路拒絕服務。(CVE-2026-96236)

 在 .NET 中包含不受信任控制球體的功能，可讓未經授權的攻擊者透過網路執行程式碼。（CVE-2026-96237）

 .NET 中低效的演算法複雜性允許未經授權的攻擊者拒絕透過網路提供的服務。
 (CVE-2026-96958)

 在 .NET 中無限製或節流的資源配置可讓未經授權的攻擊者透過網路觸發拒絕服務攻擊。(CVE-2026-96959)

 .NET 中的非對稱資源消耗 （放大） 允許未經授權的攻擊者拒絕透過網路提供的服務。（CVE-2026-96960）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

執行「dnf update dotnet8.0 --releasever 2023.12.20261102」或「dnf update --advisory ALAS2023-2026-3367 --releasever 2023.12.20261102」以更新系統。

另請參閱

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3367.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-102870.html

https://explore.alas.aws.amazon.com/CVE-2026-109468.html

https://explore.alas.aws.amazon.com/CVE-2026-111497.html

https://explore.alas.aws.amazon.com/CVE-2026-114148.html

https://explore.alas.aws.amazon.com/CVE-2026-58280.html

https://explore.alas.aws.amazon.com/CVE-2026-69651.html

https://explore.alas.aws.amazon.com/CVE-2026-70007.html

https://explore.alas.aws.amazon.com/CVE-2026-70159.html

https://explore.alas.aws.amazon.com/CVE-2026-70175.html

https://explore.alas.aws.amazon.com/CVE-2026-70179.html

https://explore.alas.aws.amazon.com/CVE-2026-70181.html

https://explore.alas.aws.amazon.com/CVE-2026-70183.html

https://explore.alas.aws.amazon.com/CVE-2026-70186.html

https://explore.alas.aws.amazon.com/CVE-2026-70197.html

https://explore.alas.aws.amazon.com/CVE-2026-83520.html

https://explore.alas.aws.amazon.com/CVE-2026-84008.html

https://explore.alas.aws.amazon.com/CVE-2026-96222.html

https://explore.alas.aws.amazon.com/CVE-2026-96225.html

https://explore.alas.aws.amazon.com/CVE-2026-96231.html

https://explore.alas.aws.amazon.com/CVE-2026-96233.html

https://explore.alas.aws.amazon.com/CVE-2026-96236.html

https://explore.alas.aws.amazon.com/CVE-2026-96237.html

https://explore.alas.aws.amazon.com/CVE-2026-96958.html

https://explore.alas.aws.amazon.com/CVE-2026-96959.html

https://explore.alas.aws.amazon.com/CVE-2026-96960.html

Plugin 詳細資訊

嚴重性: Critical

ID: 374355

檔案名稱: al2023_ALAS2023-2026-3367.nasl

版本: 1.1

類型: Local

代理程式: unix

已發布: 2026/10/30

已更新: 2026/10/30

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

風險資訊

VPR

風險因素: Critical

分數: 9.4

百分位數: 99.83

CVSS v2

風險因素: Critical

基本分數: 10

時間性分數: 8.7

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 評分資料來源: CVE-2026-111497

CVSS v3

風險因素: Critical

基本分數: 9.8

時間性分數: 9.4

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:H/RL:O/RC:C

CVSS v4

風險因素: Critical

Base Score: 9.2

Threat Score: 9.2

Threat Vector: CVSS:4.0/E:A

Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

弱點資訊

CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:aspnetcore-runtime-8.0, p-cpe:/a:amazon:linux:aspnetcore-runtime-dbg-8.0, p-cpe:/a:amazon:linux:aspnetcore-targeting-pack-8.0, p-cpe:/a:amazon:linux:dotnet-apphost-pack-8.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-apphost-pack-8.0, p-cpe:/a:amazon:linux:dotnet-host-debuginfo, p-cpe:/a:amazon:linux:dotnet-host, p-cpe:/a:amazon:linux:dotnet-hostfxr-8.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-hostfxr-8.0, p-cpe:/a:amazon:linux:dotnet-runtime-8.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-runtime-8.0, p-cpe:/a:amazon:linux:dotnet-runtime-dbg-8.0, p-cpe:/a:amazon:linux:dotnet-sdk-8.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-sdk-8.0-source-built-artifacts, p-cpe:/a:amazon:linux:dotnet-sdk-8.0, p-cpe:/a:amazon:linux:dotnet-sdk-dbg-8.0, p-cpe:/a:amazon:linux:dotnet-targeting-pack-8.0, p-cpe:/a:amazon:linux:dotnet-templates-8.0, p-cpe:/a:amazon:linux:dotnet8.0-debuginfo, p-cpe:/a:amazon:linux:dotnet8.0-debugsource, p-cpe:/a:amazon:linux:dotnet, p-cpe:/a:amazon:linux:netstandard-targeting-pack-2.1

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2026/10/30

弱點發布日期: 2026/10/13

CISA 已知遭惡意利用弱點到期日: 2026/11/10

參考資訊

CVE: CVE-2026-102870, CVE-2026-109468, CVE-2026-111497, CVE-2026-114148, CVE-2026-58280, CVE-2026-69651, CVE-2026-70007, CVE-2026-70159, CVE-2026-70175, CVE-2026-70179, CVE-2026-70181, CVE-2026-70183, CVE-2026-70186, CVE-2026-70197, CVE-2026-83520, CVE-2026-84008, CVE-2026-96222, CVE-2026-96225, CVE-2026-96231, CVE-2026-96233, CVE-2026-96236, CVE-2026-96237, CVE-2026-96958, CVE-2026-96959, CVE-2026-96960

IAVA: 2026-A-1124