Amazon Linux 2 ： python-pyasn1， --advisory ALAS2-2026-3836 （ALAS-2026-3836）
high Nessus 插件 ID 332047
语言：
简介
远程 Amazon Linux 2 主机缺少安全更新。描述
因此，该软件受到 ALAS2-2026-3836 公告中提及的多个漏洞影响。pyasn1 是 Python 的通用 ASN.1 库。在之前 0.6.4，CER 和 DER 编解码器共享的 BER 解码器通过累积连续八进制数来解析长形式标签，而标签 ID 大小没有上限，从而允许构建的输入强制构建 CPU 成本以二次方增长的任意大整数，并触发 Python 3.11+ 错误格式化路径中未处理的 ValueError 异常。任何解码不受信任的 BER、CER 或 DER 输入的应用程序均受到影响。此问题已在 0.6.4 版本中修复。
(CVE-2026-59884)
pyasn1 是 Python 的通用 ASN.1 库。在之前的版本 0.6.4中，BER、CER 和 DER 解码器在相对于弧数的二次时间内处理对象标识符和 RELATIVE-OID 值，因此包含具有许多弧的 OID 的小型构建负载每次 decode（） 调用会消耗过量 CPU，并且可拒绝向解码不受信任 ASN.1 数据的应用程序提供服务。当应用程序重新编码先前解码过攻击者提供的值时，相应的编码器具有相同的二次行为。此问题已在 0.6.4 版本中修复。(CVE-2026-59885)
pyasn1 是 Python 的通用 ASN.1 库。在此之前 0.6.4，大学。实数类型使用精确的大整数幂将其尾数、基数和指数值转换为 Python 浮点数。只有几个字节长的经 BER、CER 或 DER 编码的 REAL 值可以携带非常大的指数，从而导致通过 prettyPrint（）、str（）、comparison、算术、int（） 或明确的 float（） 调用进行浮点转换，从而消耗过量 CPU 和内存并挂起解码不受信任的 ASN.1 数据然后打印、记录或比较解码对象的应用程序。此问题已在 0.6.4 版本中修复。(CVE-2026-59886)
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行 'yum update python-pyasn1' 或 '/或 'yum update --advisory ALAS2-2026-3836' 以更新系统。另见
https://alas.aws.amazon.com//AL2/ALAS2-2026-3836.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-59884.html
插件详情
严重性: High
ID: 332047
文件名: al2_ALAS-2026-3836.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/8/4
最近更新时间: 2026/8/4
支持的传感器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Low
分数: 3
百分位: 23.73
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 分数来源: CVE-2026-59886
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:python2-pyasn1-modules, p-cpe:/a:amazon:linux:python2-pyasn1, p-cpe:/a:amazon:linux:python3-pyasn1-modules, p-cpe:/a:amazon:linux:python3-pyasn1
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/8/4
漏洞发布日期: 2026/7/14