Amazon Linux 2023：aws-cfn-bootstrap (ALAS2023-2026-1662)

high Nessus 插件 ID 315023

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，该软件受到 ALAS2023-2026-1662 公告中提及的多个漏洞影响。

在 OpenSSL 中发现一个缺陷。在解析使用带关联数据的认证加密 (AEAD) 密码（例如 AES-GCM）的 AuthEnvelopedData 结构时，远程攻击者可提供包含超长初始化向量 (IV) 的特制加密消息语法 (CMS) 消息，以利用堆栈缓冲区溢出漏洞。此漏洞可导致应用程序崩溃，从而造成拒绝服务 (DoS)，甚至引发远程代码执行风险。(CVE-2025-15467)

对具有包含非 ASCII BMP 代码点的 BMPString （UTF-16BE）友好名称的恶意构建 PKCS#12 的文件调用 PKCS12_get_friendlyname（）函数，可在分配缓冲区之前触发一字节写入。（CVE-2025-69419）

时间戳响应验证代码中存在一个类型混淆漏洞，其中在未首先验证类型的情况下访问 ASN1_TYPE union 成员，从而在处理畸形时间戳响应文件时导致无效或空指针取消引用。（CVE-2025-69420）

处理畸形 PKCS#12 文件可触发 PKCS12_item_decrypt_d2i_ex（）函数中的空指针取消引用。（CVE-2025-69421）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。