Amazon Linux 2023：rclone （ALAS2023-2026-1607）

medium Nessus 插件 ID 311301

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，该软件受到 ALAS2023-2026-1607 公告中提及的多个漏洞影响。

crypto/tls：握手消息可能在错误的加密级别被处理 (CVE-2025-61730)

在 Unix 平台上，当使用 File.ReadDir 或 File.Readdir 列出目录的内容时，返回的 FileInfo 可以引用打开该文件的根目录以外的文件。此逃逸的影响仅限于从文件系统的任意位置读取 lstat 提供的元数据，而不允许读取或写入根外部的文件。（CVE-2026-27139）

将 URL 插入 HTML 元标记的内容属性的操作不会转义。如果元标记还具有带有值 refresh 的 http-equiv 属性，这可允许 XSS。已添加新的 GODEBUG 设置 htmlmetacontenturlescape，该设置可用于通过设置 htmlmetacontenturlescape=0 在元内容属性中跟随 url= 的操作中禁用转义 URL。（CVE-2026-27142）

在验证使用证书策略的证书链时，如果证书链中的证书包含大量策略映射，验证过程会出现异常低效的问题，可能导致拒绝服务攻击。这只会影响对本应受信任的证书链的验证，该证书链由根 CA 在 VerifyOptions.Roots CertPool 或系统证书池中颁发。 (CVE-2026-32281)

在 Linux 系统下，如果在执行 Root.Chmod 操作的过程中，操作目标被替换为符号链接，Chmod 会作用于该符号链接指向的目标文件，即便该目标文件位于根目录范围之外，也会发生此问题。
(CVE-2026-32282)

处理畸形 JSON 输入时，Delete 函数无法正确验证偏移。这可导致负切片索引和运行时错误，从而允许拒绝服务攻击。（CVE-2026-32285）

在处理 JavaScript 模板字符串时，上下文无法在模板分支之间正确传递，导致内容可能出现错误转义。这可造成 JS 模板文本中的操作不正确地转义，从而导致 XSS 漏洞。 (CVE-2026-32289)

gRPC-Go 是 gRPC 的 Go 语言实现。之前的版本存在 1.79.3 授权绕过漏洞，原因是对 HTTP/2“:p ath”伪标头的输入验证不正确。gRPC-Go 服务器的路由逻辑过于宽松，会接受其中 ':p ath' 遗漏强制性前置斜线的请求（例如，'Service/Method' 而非 '/Service/Method'）。当服务器成功将这些请求路由至正确的处理程序时，授权拦截器（包括官方“grpc/authz”程序包）会评估原始的、非规范的路径字符串。因此，使用规范路径（以“/”开头）定义的拒绝规则无法匹配传入请求，从而允许该请求在存在回退允许规则时绕过策略。这会影响使用基于路径的授权拦截器的 gRPC-Go 服务器，例如“google.golang.org/grpc/authz”中的官方 RBAC 实现或依赖于“info.FullMethod“或”grpc.Method（ctx）';具有安全策略的 AND 包含针对规范路径的特定拒绝规则，但默认允许其他请求（回退允许规则）。攻击者可利用此漏洞直接将带有畸形“:p ath”头的原始 HTTP/2 帧发送到 gRPC 服务器。版本 1.79.3 中的补丁可确保立即拒绝任何不以前置斜线开头的“:p ath”请求。Unimplemented“错误，从而阻止其接触到具有非规范路径字符串的授权拦截器或处理程序。尽管升级是最安全也是最推荐的途径，但用户仍可通过以下方法之一来缓解该漏洞：使用验证拦截器（建议的缓解措施）;基础设施层面的规范化;和/或策略强化。（CVE-2026-33186）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。