Amazon Linux 2023：docker (ALAS2023-2026-1783)
high Nessus 插件 ID 319787
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-1783 公告中提及的多个漏洞影响。RSA 和 DSA 公钥解析器未对密钥参数强制实施大小限制。具有超大模数或 DSA 参数的特别构建的公钥可造成在签名验证期间消耗数分钟的 CPU。未经认证的客户端可在公钥认证期间触发此问题。现在将 RSA 模数限制为 8192 位，并且根据 对 DSA 参数进行 FIPS 186-2验证。
(CVE-2026-39829)
恶意 SSH 对等机可发送未经请求的全局请求响应填充内部缓冲区，从而阻断连接的读取循环。无法通过调用 Close（） 释放被阻断的 goroutine，从而导致每个连接都发生资源泄漏。现在会丢弃未经请求的全局响应。（CVE-2026-39830）
FIDO/U2F 安全密钥类型（[email protected]、[email protected]）的 Verify（） 方法未检查用户状态标记。不接触物理操作生成的签名会被接受，从而允许在无人值守的情况下使用硬件安全密钥。若要还原以前的行为，请从 PublicKeyCallback 返回 Permissions.Extensions 中的免接触扩展。（CVE-2026-39831）
NewKeyring（） 返回的内存中 keyring 静默接受具有 ConfirmBeforeUse 限制的密钥，但从不强制实施。密钥会签名而不提示任何确认，并且不会向调用者表明该限制未生效。NewKeyring（） 现在会在请求不受支持的限制时返回错误。（CVE-2026-39833）
Docker：docker cp 中的争用条件允许绑定式挂载重定向到主机路径 （CVE-2026-42306）
之前，属于 CA 的已撤消的“SignatureKey”未经过正确检查以予以撤消。现在，“密钥”和“密钥。SignatureKey“检查是否有@revoked。（CVE-2026-42508）
之前修复 CVE-2024-45337 了因滥用的 ssh 服务器配置而造成的授权绕过;如果传递了公钥以外的任何其他类型的回调，则将跳过源地址验证。（CVE-2026-46595）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update docker --releasever 2023.12.20260608”或“dnf update --advisory ALAS2023-2026-1783 --releasever 2023.12.20260608”以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-1783.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-39829.html
https://explore.alas.aws.amazon.com/CVE-2026-39830.html
https://explore.alas.aws.amazon.com/CVE-2026-39831.html
https://explore.alas.aws.amazon.com/CVE-2026-39833.html
https://explore.alas.aws.amazon.com/CVE-2026-42306.html
插件详情
严重性: High
ID: 319787
文件名: al2023_ALAS2023-2026-1783.nasl
版本: 1.2
类型: Local
代理: unix
发布时间: 2026/6/8
最近更新时间: 2026/6/17
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.8
百分位: 57.72
CVSS v2
风险因素: High
基本分数: 9.4
时间分数: 7
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS 分数来源: CVE-2026-42508
CVSS v3
风险因素: High
基本分数: 7.2
时间分数: 6.3
矢量: CVSS:3.0/AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2026-42306
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:docker-debuginfo, p-cpe:/a:amazon:linux:docker-debugsource, p-cpe:/a:amazon:linux:docker
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/6/8
漏洞发布日期: 2026/5/12
参考资料信息
CVE: CVE-2026-39829, CVE-2026-39830, CVE-2026-39831, CVE-2026-39833, CVE-2026-42306, CVE-2026-42508, CVE-2026-46595
IAVA: 2026-A-0291
IAVB: 2026-B-0120