Amazon Linux 2023：amazon-ssm-agent (ALAS2023-2025-1359)

high Nessus 插件 ID 282386

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，该软件受到 ALAS2023-2025-1359 公告中提及的多个漏洞影响。

通过包含 ExtKeyUsageAny 的 VerifyOptions.KeyUsages 调用验证时无意间禁用了策略验证。这仅影响包含策略图的证书链，该漏洞相当不常见。
(CVE-2025-22874)

Proxy-Authorization 和 Proxy-Authenticate 标头持续存在于跨源重定向，可能泄露敏感信息。(CVE-2025-4673)

net/url对带括号的 IPv6 主机名验证不充分

URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

archive/tar解析 GNU 稀疏映射时发生不受限制的分配

tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

net/http解析 cookie 时缺少限制可导致内存耗尽

尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

crypto/x509检查名称限制时的二次方复杂性

由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

这会影响用于验证任意证书链的程序。 (CVE-2025-58187)

crypto/x509使用 DSA 公钥验证证书时的错误

验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

crypto/tlsALPN 协商错误可包含任意文本

当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。 (CVE-2025-58189)

编码/pem解析某些无效输入时的二次方复杂性

由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

net/textprotoReader.ReadResponse 中 CPU 消耗过多

Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。
(CVE-2025-61724)

net/mailParseAddress 中 CPU 消耗过多

ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
(CVE-2025-61725)

crypto/x509排除的子域限制不限制通配符 SAN

证书链中排除子域的限制不会限制通配符 SAN 在叶证书中的使用。例如排除子域 test.example.com 的限制并不能阻止叶证书声明 SAN *.example.com。 (CVE-2025-61727)

在 HostnameError.Error() 内构造错误字符串时对打印输出的主机数量没有限制。此外错误字符串由重复的字符串连接所构建进而导致二次方的运行时。因此，由恶意执行者提供的证书可导致过度消耗资源。 (CVE-2025-61729)

在 CIRCL 的 FourQ 椭圆曲线实现中发现一个缺陷。此漏洞允许攻击者在 Diffie-Hellman 密钥交换期间通过低阶点注入和错误的点验证危害会话安全。 (CVE-2025-8556)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。