远程主机上安装的 AOS 版本低于 7.0.1.14。因此如公告 NXSA-AOS-7.0.1.14 所述受到多个漏洞的影响。

  - 在 GNU Binutils 中发现一个漏洞 2.45。受影响的元素是组件链接器的库 bfd/elfcode.h 中的函数 elf_swap_shdr。此操纵漏洞会导致基于堆的缓冲区溢出。
    攻击必须在本地进行。该漏洞已被公开并可被使用。修补程序的标识符为 9ca499644a21ceb3f946d1c179c38a83be084490。要修复此问题，建议部署修补程序。代码维护者回复了 [f]已修复 2.46。 (CVE-2025-11083)

  - LIBPNG 是一个参考库在读取、创建和操纵 PNG可移植网络图形栅格图像文件的应用程序中使用。从版本 1.6.0 到 1.6.51之前的版本png_image_read_composite 中处理启用了 PNG_FLAG_OPTIMIZE_ALPHA 的调色板图像时存在越界读取漏洞。png_init_read_transformations 中的调色板复合代码在预乘期间未正确应用背景复合从而违反了简化的 PNG API 所需的不变组件 alpha 257。已在版本 1.6.51 中修补此问题。(CVE-2025-64720)

  - LIBPNG 是一个参考库在读取、创建和操纵 PNG可移植网络图形栅格图像文件的应用程序中使用。从版本 1.6.0 到 1.6.51之前的版本libpng 简化的 API 函数 png_image_finish_read 中存在一个堆缓冲区溢出漏洞当处理具有 8 位输出格式的 16 位交错式 PNG 时。攻击者构建的交错式 PNG 文件可造成堆写入超出分配的缓冲区边界。已在版本 1.6.51 中修补此问题。(CVE-2025-65018)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 产品中存在漏洞（组件：RMI）。支持的版本中受影响的是 Oracle Java SE：8u471、8u471-b50、8u471-perf、11.0.29、17.0.17、21.0.9、25.0.1；Oracle GraalVM for JDK：17.0.17 和 21.0.9；
    Oracle GraalVM Enterprise Edition：21.3.16。攻击此漏洞的难度较大，通过多种协议访问网络的未经身份验证的攻击者可以利用此漏洞破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或修改部分 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可读取访问 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的子集。注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。(CVE-2026-21925)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 产品中的漏洞（组件：Networking）。支持的版本中受影响的是 Oracle Java SE：8u471、8u471-b50、8u471-perf、11.0.29、17.0.17、21.0.9、25.0.1；Oracle GraalVM for JDK：17.0.17 和 21.0.9；
    Oracle GraalVM Enterprise Edition：21.3.16。此漏洞较容易受到攻击，其允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或修改部分 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可读取访问 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的子集。注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。(CVE-2026-21933)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Nutanix AOS 多个漏洞 (NXSA-AOS-7.0.1.14)

medium Nessus 插件 ID 300502

版本 1.1