Amazon Linux 2：amazon-cloudwatch-agent (ALAS-2025-2904)

medium Nessus 插件 ID 240451

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 amazon-cloudwatch-agent 版本低于 1.300055.3-1。因此，该软件受到 ALAS2-2025-2904 公告中提及的多个漏洞影响。

分词器错误地将以斜线字符 (/) 结尾的未加引号的属性值的标签解释为自闭合标签。当直接使用分词器时，这可能会导致此类标签被错误地标记为自闭合，而当使用 Parse 函数时，这可能会导致此类标签后面的内容在 DOM 构建期间被放置在错误的范围内，但仅当标签位于外部内容中时（例如
<math>、<svg> 等上下文）。

经过分析，我们确定 2025-22872 不会对 Amazon Linux 2 或 Amazon Linux 2023 上的 docker 或 containerd 造成安全风险。使用 govulncheck 进行的源代码分析已确认这些程序包不包含易受攻击的代码。因此，AL2 和 AL2023 上的这些特定程序包不需要安全补丁。(CVE-2025-22872)

通过包含 ExtKeyUsageAny 的 VerifyOptions.KeyUsages 调用验证时无意间禁用了策略验证。这仅影响包含策略图的证书链，该漏洞相当不常见。
(CVE-2025-22874)

Proxy-Authorization 和 Proxy-Authenticate 标头持续存在于跨源重定向，可能泄露敏感信息。(CVE-2025-4673)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。