Amazon Linux 2023yq (ALAS2023-2026-1582)

medium Nessus 插件 ID 306237

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，该软件受到 ALAS2023-2026-1582 公告中提及的多个漏洞影响。

golang.org/x/net/html 中的 html.Parse 函数在处理特定输入时，存在解析二次方复杂性，此漏洞可能会在攻击者提供特别构建 HTML 内容时导致拒绝服务 (DoS)。
(CVE-2025-47911)

golang.org/x/net/html 中的 html.Parse 函数在处理特定输入时，存在无限解析循环，此漏洞可能会在攻击者提供特别构建 HTML 内容时导致拒绝服务 (DoS)。
(CVE-2025-58190)

url.Parse 未充分验证主机/颁发机构组件接受了一些无效的 URL。
(CVE-2026-25679)

在 Unix 平台上使用 File.ReadDir 或 File.Readdir 列出目录内容时返回的 FileInfo 可能引用打开文件的 Root 之外的文件。此转义的影响仅限于从文件系统上的任意位置读取由 lstat 提供的元数据不允许在根之外读取或写入文件。 (CVE-2026-27139)

将 URL 插入 HTML 元标记的内容属性的操作未转义。如果 meta 标签也具有值为 refresh 的 http-equiv 属性则可允许 XSS。添加了新的 GODEBUG 设置 htmlmetacontenturlescape可用于在元内容属性中通过设置 htmlmetacontenturlescape=0 遵循 url= 的操作中禁用转义 URL。 (CVE-2026-27142)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。