Amazon Linux 2 : amazon-ecr-credential-helper, --advisory ALAS2NITRO-ENCLAVES-2025-079 (ALASNITRO-ENCLAVES-2025-079)

high Nessus 插件 ID 281793

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 amazon-ecr-credential-helper 版本低于 0.11.0-2。因此，该 docker 受到 ALAS2NITRO-ENCLAVES-2025-079 公告中提及的多个漏洞的影响。

crypto/x509排除的子域限制不限制通配符 SAN

证书链中排除子域的限制不会限制通配符 SAN 在叶证书中的使用。例如排除子域 test.example.com 的限制并不能阻止叶证书声明 SAN *.example.com。 (CVE-2025-61727)

在 HostnameError.Error() 内构造错误字符串时对打印输出的主机数量没有限制。此外错误字符串由重复的字符串连接所构建进而导致二次方的运行时。因此，由恶意执行者提供的证书可导致过度消耗资源。 (CVE-2025-61729)

当使用 Entry.Writer() 记录大于 64KB且无换行符的单行负载时github.com/sirupsen/logrus 中存在一个拒绝服务漏洞。由于内部 bufio.Scanner 中的限制读取会因标记过长而失败且写入器管道已关闭从而使 Writer() 无法使用并造成应用程序不可用 (DoS)。这会影响版本 < 1.8.3、 1.9.0和 1.9.2。
此问题已在 1.8.3、 1.9.1和 1.9.3+ 中修复其中即使记录了错误输入也会被分块且编写器会继续运行。 (CVE-2025-65637)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。