亚马逊Linux 2 ： rclone， --advisory ALAS2-2026-3264 （ALAS-2026-3264）

critical Nessus 插件 ID 311209

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 rclone 版本低于 1.55.1-1。因此，它受到 ALAS2-2026-3264 公告中提及的一个漏洞影响。

gRPC-Go 是 Go语言中 gRPC 的实现。之前 1.79.3 的版本因对HTTP/2 ':p ath'伪首部的错误输入验证而出现授权绕过。gRPC-Go 服务器在路由逻辑上过于宽松，接受的请求是“:p ath”省略了强制的前斜杠（例如，'Service/Method' 而非 '/Service/Method'）。虽然服务器成功将这些请求路由到正确的处理程序，但授权拦截器（包括官方的“grpc/authz”包）会评估原始的非规范路径字符串。因此，使用规范路径（以 '/' 开头）定义的拒绝规则未能匹配到收到的请求，如果存在后备允许规则，允许规则可以绕过该策略。这影响了使用基于路径授权拦截器的gRPC-Go服务器，比如官方RBAC实现中的“google.golang.org/grpc/authz”或依赖“信息”的自定义拦截器。FullMethod'或'grpc.'方法（ctx）';且有安全策略的，包含针对规范路径的特定拒绝规则，但默认允许其他请求（一个后备允许规则）。该漏洞可被攻击者利用，攻击者可以直接向gRPC服务器发送带有错误“:p ath”头部的原始HTTP/2帧。版本 1.79.3 中的修复确保任何带有“:p ath”且不以斜杠开头的请求都会立即被“codes”拒绝。未实现“错误，阻止其通过非规范路径字符串到达授权拦截器或处理程序。虽然升级是最安全且推荐的途径，但用户可以通过以下方法之一来缓解漏洞：使用验证拦截器（推荐的缓解方法）;基础设施层面的规范化;和/或政策强化。（CVE-2026-33186）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。