远程主机上安装的 oci-add-hooks 版本低于 0-0.5.20200504git325a340。因此，该 docker 受到 ALAS2NITRO-ENCLAVES-2025-075 公告中提及的多个漏洞的影响。

    net/url对带括号的 IPv6 主机名验证不充分

    URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509检查名称限制时的二次方复杂性

    由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58187)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    crypto/tlsALPN 协商错误可包含任意文本

    当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

    这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。 (CVE-2025-58189)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/textprotoReader.ReadResponse 中 CPU 消耗过多

    Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。
    (CVE-2025-61724)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2 oci-add-hooks, --advisory ALAS2NITRO-ENCLAVES-2025-075 (ALASNITRO-ENCLAVES-2025-075)

medium Nessus 插件 ID 274681

版本 1.1