遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:3593 公告中提及的多個弱點影響。

    具有 OpenTelemetry Red Hat 版本支援元件的收集器

    安全性修正：

    * golang：net/http：跨網域重新導向後，錯誤傳送敏感標頭 (CVE-2024-45336)

    * go-jose：Go JOSE 的剖析容易受到拒絕服務影響 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中進行 token 剖析期間發生意外的記憶體耗用 (CVE-2025-22868)

    * github.com/expr-lang/expr：未限制輸入的 Expr 剖析器中發生記憶體耗盡 (CVE-2025-29786)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 RockyLinux 10 主機已安裝一個受到 RLSA-2025:7479 公告中提及的多個弱點影響的套件。

    * go-jose：Go JOSE 的剖析容易受到拒絕服務影響 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中進行 token 剖析期間發生意外的記憶體耗用 (CVE-2025-22868)

    * github.com/expr-lang/expr：未限制輸入的 Expr 剖析器中發生記憶體耗盡 (CVE-2025-29786)

    * golang-jwt/jwt：jwt-go 允許在標頭剖析期間過度記憶體配置 (CVE-2025-30204)

Tenable 已直接從 RockyLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:3335 公告中提及的多個弱點影響。

    具有 OpenTelemetry Red Hat 版本支援元件的收集器

    安全性修正：

    * golang：net/http：跨網域重新導向後，錯誤傳送敏感標頭 (CVE-2024-45336)

    * go-jose：Go JOSE 的剖析容易受到拒絕服務影響 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中進行 token 剖析期間發生意外的記憶體耗用 (CVE-2025-22868)

    * github.com/expr-lang/expr：未限制輸入的 Expr 剖析器中發生記憶體耗盡 (CVE-2025-29786)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2025-968 公告中所提及的多個弱點影響。

    net/http 套件接受區塊傳輸編碼中的資料，其中包含由純 LF 終止的無效區塊大小行。當與將區塊延伸模組中的純 LF 不正確解譯為延伸模組一部分的伺服器或代理伺服器搭配使用時，這可允許要求走私。
    (CVE-2025-22871)

    Expr 是適用於 Go 的運算式語言和運算式評估。在 1.17.0版之前，如果 Expr 運算式剖析器獲得無限制的輸入字串，它會嘗試編譯整個字串，並針對運算式的每個部分產生抽象語法樹 (AST) 節點。在輸入大小不受限制的情況下，當剖析器構建巨大的 AST 時，惡意或意外的極大運算式可消耗過量記憶體。這最終可導致*過度使用記憶體，以及處理程序發生記憶體不足 (OOM) 損毀。此問題相對不常見，且只會在輸入大小沒有限制時才會出現，亦即允許運算式長度增長到任意大。在輸入有邊界或經過驗證的典型使用案例中，不會發生此問題。此問題已在最新版的 Expr 程式庫中修補。修正在剖析期間引入 AST 節點數和記憶體使用量的編譯時間限制，防止任何單一運算式耗盡資源。使用者應升級至 Expr 1.17.0 版或更新版本，因為此版本包含新的節點預算和記憶體限制保護機制。升級至 v1.17.0 可確保在編譯期間偵測到極深或極大的運算式並安全地中止，進而避免 OOM 情形。對於無法立即升級的使用者，建議的因應措施是在剖析前施加輸入大小限制。實際上，這表示驗證或限制您的應用程式將接受的運算式字串長度。例如，為任何運算式設定字元 (或節點) 的最大允許數，並拒絕或截斷超過此限制的輸入。藉由確保沒有任何無限長度的運算式饋送至剖析器，可防止剖析器建構病態的大型 AST，並避免潛在的記憶體耗盡。總而言之，預先驗證並設定輸入大小上限，作為缺少修補程式時的保護措施。
    (CVE-2025-29786)

    golang-jwt 是 JSON Web Token 的 Go 實作。在 5.2.2 和 4.5.2之前的版本中，parse.ParseUnverified 函式會 (透過對於 strings.Split 的呼叫) 分割其關於句點的引數 (未受信任的資料)。因此，如果惡意要求的授權標頭是由 Bearer 後面接著許多句號字元所組成時，對該函式的呼叫會造成 O(n) 位元組的配置 (其中 n 代表函式引數的長度)，常數因數約為 16。此問題已在 5.2.2 和 4.5.2 中修正。(CVE-2025-30204)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Azure Linux 3.0 主機上安裝的 coredns / ig / keda 版本比測試版舊。因此，此版本會受到 CVE-2025-29786 公告中提及的一個弱點影響。

  - Expr 是適用於 Go 的運算式語言和運算式評估。在 1.17.0版之前如果 Expr 運算式剖析器獲得無限制的輸入字串其將嘗試編譯整個字串並針對運算式的每個部分產生一個抽象語法樹 (AST) 節點。在輸入大小不受限制的情況下惡意或無意的極大運算式可消耗過量記憶體因為剖析器會構建巨大的 AST。這最終可導致*過度使用記憶體以及處理程序發生記憶體不足 (OOM) 當機。此問題相對較少且只會在輸入大小沒有限制時 (亦即運算式長度可任意增長) 才會出現。在輸入有邊界或經過驗證的典型使用案例中不會發生此問題。此問題已在最新版的 Expr 程式庫中修補。修正在剖析期間針對 AST 節點數和記憶體使用引入編譯時間限制以防止任何單一運算式耗盡資源。使用者應升級至 Expr 1.17.0 版或更新版本因為此版本包含新的節點預置和記憶體限制保護機制。升級至 v1.17.0 可確保在編譯過程中偵測到極深或極大的運算式並安全地中止這些運算式以避免 OOM 情形。對於無法立即升級的使用者建議的因應措施是在剖析之前施加輸入大小限制。實際上這表示驗證或限制您的應用程式將接受的運算式字串長度。例如為任何運算式設定字元 (或節點) 的最大允許數並拒絕或截斷超過此限制的輸入。透過確保沒有任何無限長度的運算式輸入剖析器可以防止剖析器建構病態的大型 AST並避免潛在的記憶體耗盡。簡而言之，在缺少修補程式的情況下，預先驗證並設定輸入大小上限作為保護措施。
    (CVE-2025-29786)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:7407 公告中提及的多個弱點影響。

    具有 OpenTelemetry Red Hat 版本支援元件的收集器

    安全性修正：

    * go-jose：Go JOSE 的剖析容易受到拒絕服務影響 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中進行 token 剖析期間發生意外的記憶體耗用 (CVE-2025-22868)

    * github.com/expr-lang/expr：未限制輸入的 Expr 剖析器中發生記憶體耗盡 (CVE-2025-29786)

    * golang-jwt/jwt：jwt-go 允許在標頭剖析期間過度記憶體配置 (CVE-2025-30204)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 10 主機已安裝一個受到多個弱點影響的套件如 RHSA-2025:7479 公告中所提及。

    具有 OpenTelemetry Red Hat 版本支援元件的收集器

    安全性修正：

    * go-jose：Go JOSE 的剖析容易受到拒絕服務影響 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中進行 token 剖析期間發生意外的記憶體耗用 (CVE-2025-22868)

    * github.com/expr-lang/expr：未限制輸入的 Expr 剖析器中發生記憶體耗盡 (CVE-2025-29786)

    * golang-jwt/jwt：jwt-go 允許在標頭剖析期間過度記憶體配置 (CVE-2025-30204)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Expr 是適用於 Go 的運算式語言和運算式評估。在 1.17.0版之前，如果 Expr 運算式剖析器獲得無限制的輸入字串，它會嘗試編譯整個字串，並針對運算式的每個部分產生抽象語法樹 (AST) 節點。在輸入大小不受限制的情況下，當剖析器構建巨大的 AST 時，惡意或意外的極大運算式可消耗過量記憶體。這最終可導致*過度使用記憶體，以及處理程序發生記憶體不足 (OOM) 損毀。此問題相對不常見，且只會在輸入大小沒有限制時才會出現，亦即允許運算式長度增長到任意大。在輸入有邊界或經過驗證的典型使用案例中，不會發生此問題。此問題已在最新版的 Expr 程式庫中修補。修正在剖析期間引入 AST 節點數和記憶體使用量的編譯時間限制，防止任何單一運算式耗盡資源。使用者應升級至 Expr 1.17.0 版或更新版本，因為此版本包含新的節點預算和記憶體限制保護機制。升級至 v1.17.0 可確保在編譯期間偵測到極深或極大的運算式並安全地中止，進而避免 OOM 情形。對於無法立即升級的使用者，建議的因應措施是在剖析前施加輸入大小限制。實際上，這表示驗證或限制您的應用程式將接受的運算式字串長度。例如，為任何運算式設定字元 (或節點) 的最大允許數，並拒絕或截斷超過此限制的輸入。藉由確保沒有任何無限長度的運算式饋送至剖析器，可防止剖析器建構病態的大型 AST，並避免潛在的記憶體耗盡。總而言之，預先驗證並設定輸入大小上限，作為缺少修補程式時的保護措施。
    (CVE-2025-29786)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 amazon-cloudwatch-agent 版本低於 1.300054.1-2。因此，會受到 ALAS2-2025-2851 公告中所提及的多個弱點影響。

    net/http 套件接受區塊傳輸編碼中的資料，其中包含由純 LF 終止的無效區塊大小行。當與將區塊延伸模組中的純 LF 不正確解譯為延伸模組一部分的伺服器或代理伺服器搭配使用時，這可允許要求走私。
    (CVE-2025-22871)

    Expr 是適用於 Go 的運算式語言和運算式評估。在 1.17.0版之前，如果 Expr 運算式剖析器獲得無限制的輸入字串，它會嘗試編譯整個字串，並針對運算式的每個部分產生抽象語法樹 (AST) 節點。在輸入大小不受限制的情況下，當剖析器構建巨大的 AST 時，惡意或意外的極大運算式可消耗過量記憶體。這最終可導致*過度使用記憶體，以及處理程序發生記憶體不足 (OOM) 損毀。此問題相對不常見，且只會在輸入大小沒有限制時才會出現，亦即允許運算式長度增長到任意大。在輸入有邊界或經過驗證的典型使用案例中，不會發生此問題。此問題已在最新版的 Expr 程式庫中修補。修正在剖析期間引入 AST 節點數和記憶體使用量的編譯時間限制，防止任何單一運算式耗盡資源。使用者應升級至 Expr 1.17.0 版或更新版本，因為此版本包含新的節點預算和記憶體限制保護機制。升級至 v1.17.0 可確保在編譯期間偵測到極深或極大的運算式並安全地中止，進而避免 OOM 情形。對於無法立即升級的使用者，建議的因應措施是在剖析前施加輸入大小限制。實際上，這表示驗證或限制您的應用程式將接受的運算式字串長度。例如，為任何運算式設定字元 (或節點) 的最大允許數，並拒絕或截斷超過此限制的輸入。藉由確保沒有任何無限長度的運算式饋送至剖析器，可防止剖析器建構病態的大型 AST，並避免潛在的記憶體耗盡。總而言之，預先驗證並設定輸入大小上限，作為缺少修補程式時的保護措施。
    (CVE-2025-29786)

    golang-jwt 是 JSON Web Token 的 Go 實作。在 5.2.2 和 4.5.2之前的版本中，parse.ParseUnverified 函式會 (透過對於 strings.Split 的呼叫) 分割其關於句點的引數 (未受信任的資料)。因此，如果惡意要求的授權標頭是由 Bearer 後面接著許多句號字元所組成時，對該函式的呼叫會造成 O(n) 位元組的配置 (其中 n 代表函式引數的長度)，常數因數約為 16。此問題已在 5.2.2 和 4.5.2 中修正。(CVE-2025-30204)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
233934	RHEL 9：opentelemetry-collector (RHSA-2025:3593)	Nessus	Red Hat Local Security Checks	2025/4/5	2025/6/5	high
266573	RockyLinux 10opentelemetry-collector (RLSA-2025:7479)	Nessus	Rocky Linux Local Security Checks	2025/10/4	2025/10/4	high
233522	RHEL 9：opentelemetry-collector (RHSA-2025:3335)	Nessus	Red Hat Local Security Checks	2025/3/29	2025/6/5	high
235902	Amazon Linux 2023：amazon-cloudwatch-agent (ALAS2023-2025-968)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/5/13	high
234061	Azure Linux 3.0 安全性更新coredns / ig / keda (CVE-2025-29786)	Nessus	Azure Linux Local Security Checks	2025/4/9	2025/9/15	high
235835	RHEL 9opentelemetry-collector (RHSA-2025:7407)	Nessus	Red Hat Local Security Checks	2025/5/13	2025/6/5	high
237843	RHEL 10opentelemetry-collector (RHSA-2025:7479)	Nessus	Red Hat Local Security Checks	2025/6/5	2025/6/5	high
251971	Linux Distros 未修補的弱點：CVE-2025-29786	Nessus	Misc.	2025/8/19	2026/4/29	high
235886	Amazon Linux 2：amazon-cloudwatch-agent (ALAS-2025-2851)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/5/13	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high