远程主机上安装的 runfinch-finch 版本低于 1.10.0-1。因此，该软件受到 ALAS2DOCKER-2025-092 公告中提及的多个漏洞影响。

    SSH 代理服务器在处理新的身份请求时不验证消息的大小如果消息因越界读取而格式错误这可能会造成程序发生错误。 (CVE-2025-47914)

    解析 GSSAPI 认证请求的 SSH 服务器不会验证请求中指定的机制数量从而允许攻击者造成无限制的内存消耗。 (CVE-2025-58181)

    crypto/x509排除的子域限制不限制通配符 SAN

    证书链中排除子域的限制不会限制通配符 SAN 在叶证书中的使用。例如排除子域 test.example.com 的限制并不能阻止叶证书声明 SAN *.example.com。 (CVE-2025-61727)

    在 HostnameError.Error() 内构造错误字符串时对打印输出的主机数量没有限制。此外错误字符串由重复的字符串连接所构建进而导致二次方的运行时。因此，由恶意执行者提供的证书可导致过度消耗资源。 (CVE-2025-61729)

    Fulcio 是一个免费的证书颁发机构，用于为 OpenID Connect (OIDC) 身份颁发代码签名证书。在低于 1.8.3的版本中函数 identity.extractIssuerURL 通过调用 strings.Split 按句点拆分其参数即不受信任的数据。因此面对负载中无效的 OIDC 身份标记包含许多句点字符的恶意请求时对 extractIssuerURL 的调用会导致分配 O(n) 字节其中 n 代表函数的参数），常数因子约 16。此漏洞已在 1.8.3 中修复。(CVE-2025-66506)

    Sigstore Timestamp Authority 是一项用于发布 RFC 3161 时间戳的服务。在低于 2.0.3的版本中函数 api.ParseJSONRequest 目前会按句点拆分（通过调用 string.Split）可选提供的 OID这是不受信任的数据。同样函数 api.getContentType 会拆分应用程序字符串上的 Content-Type 标头也是不受信任的数据。因此面对在负载中使用超长 OID 且包含许多句号字符或在负载中具有畸形 Content-Type 标头的恶意请求时对 api.ParseJSONRequest 或 api.getContentType 的调用会产生 O(n) 字节分配（其中 n 代表函数参数的长度）。此漏洞已在 2.0.3 中修复。
    (CVE-2025-66564)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2runfinch-finch、 --advisory ALAS2DOCKER-2025-092 (ALASDOCKER-2025-092)

medium Nessus 插件 ID 281772

版本 1.2