检测

Amazon Linux 2023：aspnetcore-runtime-10.0、aspnetcore-runtime-dbg-10.0、aspnetcore-targeting-pack-10.0 (ALAS2023-2026-2009)

critical Nessus 插件 ID 332048

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，该软件受到 ALAS2023-2026-2009 公告中提及的多个漏洞影响。

 ASP.NET Core 中身份验证算法的实现存在缺陷，这使得已授权的攻击者能够通过网络提升权限。(CVE-2026-47300)

 在 .NET 中未经限制或节流的资源分配允许未经授权的攻击者通过网络拒绝服务。(CVE-2026-47302)

 ASP.NET Core 中因被假定为不可变的数据导致的身份验证绕过漏洞，使经过授权的攻击者能够通过网络提升权限。(CVE-2026-47303)

 .NET 中对加密签名的不当验证允许未经授权的攻击者通过网络绕过安全功能。(CVE-2026-47304)

 未正确验证 .NET Framework 中指定的输入类型，允许未经授权的攻击者拒绝网络服务。（CVE-2026-50524）

 在 .NET 中未经限制或节流的资源分配允许未经授权的攻击者通过网络拒绝服务。(CVE-2026-50525)

 在 .NET 中访问文件之前的链接解析错误（“链接跟随”）允许授权的攻击者在本地执行篡改。(CVE-2026-50526)

 .NET Framework 中基于堆栈的缓冲区溢出漏洞允许未经授权的攻击者通过网络拒绝服务。(CVE-2026-50527)

 .NET 中的不当验证允许未经授权的攻击者通过网络绕过安全功能。(CVE-2026-50528)

 .NET Framework 中的保护机制故障允许未经授权的攻击者在本地执行代码。
 (CVE-2026-50646)

 在 .NET Framework 中未经限制或节流的资源分配允许未经授权的攻击者通过网络拒绝服务。(CVE-2026-50648)

 .NET 中不受信任数据的反序列化允许未经授权的攻击者在本地执行代码。
 (CVE-2026-50649)

 在 .NET Framework 中对代码生成（“代码注入”）的不当控制允许未经授权的攻击者本地提升权限。(CVE-2026-50650)

 在 .NET 中未经限制或节流的资源分配允许未经授权的攻击者通过网络拒绝服务。(CVE-2026-50651)

 .NET 中输出编码或转义不当，会导致授权攻击者能够通过网络进行欺骗。(CVE-2026-50659)

 在 ASP.NET Core 中未经限制或节流的资源分配允许未经授权的攻击者通过网络拒绝服务。(CVE-2026-56170)

 在 .NET Core 中，使用不兼容类型访问资源（“类型混淆”）会导致未经授权的攻击者能够通过网络发起拒绝服务攻击。(CVE-2026-57108)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

运行“dnf update dotnet10.0 --releasever 2023.12.20260803”或“dnf update --advisory ALAS2023-2026-2009 --releasever 2023.12.20260803”以更新系统。

另见

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2009.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-47300.html

https://explore.alas.aws.amazon.com/CVE-2026-47302.html

https://explore.alas.aws.amazon.com/CVE-2026-47303.html

https://explore.alas.aws.amazon.com/CVE-2026-47304.html

https://explore.alas.aws.amazon.com/CVE-2026-50524.html

https://explore.alas.aws.amazon.com/CVE-2026-50525.html

https://explore.alas.aws.amazon.com/CVE-2026-50526.html

https://explore.alas.aws.amazon.com/CVE-2026-50527.html

https://explore.alas.aws.amazon.com/CVE-2026-50528.html

https://explore.alas.aws.amazon.com/CVE-2026-50646.html

https://explore.alas.aws.amazon.com/CVE-2026-50648.html

https://explore.alas.aws.amazon.com/CVE-2026-50649.html

https://explore.alas.aws.amazon.com/CVE-2026-50650.html

https://explore.alas.aws.amazon.com/CVE-2026-50651.html

https://explore.alas.aws.amazon.com/CVE-2026-50659.html

https://explore.alas.aws.amazon.com/CVE-2026-56170.html

https://explore.alas.aws.amazon.com/CVE-2026-57108.html

插件详情

严重性: Critical

ID: 332048

文件名: al2023_ALAS2023-2026-2009.nasl

版本: 1.2

类型: Local

代理: unix

发布时间: 2026/8/4

最近更新时间: 2026/8/6

支持的传感器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.9

百分位: 58.14

CVSS v2

风险因素: Critical

基本分数: 10

时间分数: 7.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 分数来源: CVE-2026-47304

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:aspnetcore-runtime-10.0, p-cpe:/a:amazon:linux:aspnetcore-runtime-dbg-10.0, p-cpe:/a:amazon:linux:aspnetcore-targeting-pack-10.0, p-cpe:/a:amazon:linux:dotnet-apphost-pack-10.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-apphost-pack-10.0, p-cpe:/a:amazon:linux:dotnet-host-debuginfo, p-cpe:/a:amazon:linux:dotnet-host, p-cpe:/a:amazon:linux:dotnet-hostfxr-10.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-hostfxr-10.0, p-cpe:/a:amazon:linux:dotnet-runtime-10.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-runtime-10.0, p-cpe:/a:amazon:linux:dotnet-runtime-dbg-10.0, p-cpe:/a:amazon:linux:dotnet-sdk-10.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-sdk-10.0-source-built-artifacts, p-cpe:/a:amazon:linux:dotnet-sdk-10.0, p-cpe:/a:amazon:linux:dotnet-sdk-aot-10.0-debuginfo, p-cpe:/a:amazon:linux:dotnet-sdk-aot-10.0, p-cpe:/a:amazon:linux:dotnet-sdk-dbg-10.0, p-cpe:/a:amazon:linux:dotnet-targeting-pack-10.0, p-cpe:/a:amazon:linux:dotnet-templates-10.0, p-cpe:/a:amazon:linux:dotnet10.0-debuginfo, p-cpe:/a:amazon:linux:dotnet10.0-debugsource, p-cpe:/a:amazon:linux:dotnet

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

易利用性: No known exploits are available

补丁发布日期: 2026/8/4

漏洞发布日期: 2026/7/14

参考资料信息

CVE: CVE-2026-47300, CVE-2026-47302, CVE-2026-47303, CVE-2026-47304, CVE-2026-50524, CVE-2026-50525, CVE-2026-50526, CVE-2026-50527, CVE-2026-50528, CVE-2026-50646, CVE-2026-50648, CVE-2026-50649, CVE-2026-50650, CVE-2026-50651, CVE-2026-50659, CVE-2026-56170, CVE-2026-57108

IAVA: 2026-A-0726