RHEL 10：rh-podman-desktop （RHSA-2026:57590）

critical Nessus 插件 ID 338414

语言：

简介

远程 Red Hat 主机缺少一个或多个安全更新。

描述

远程 Redhat Enterprise Linux 10 主机上安装的程序包受到 RHSA-2026:57590 公告中提及的多个漏洞影响。

Red Hat Podman Desktop 版本是使用 Podman 管理容器的图形工具。它允许用户使用桌面 GUI 运行、管理和配置容器及容器图像。

安全修复：

* github.com/go-jose/go-jose/v3：github.com/go-jose/go-jose/v4： Go JOSE：通过构建的 JSON Web 加密（JWE）对象（CVE-2026-34986）造成的拒绝服务

* ip-address：ip-address：通过对不受信任的输入进行不当 HTML 转义造成跨站脚本 (CVE-2026-42338)

* protobufjs： protobufjs：通过构建的 JSON 描述符造成的拒绝服务（CVE-2026-45740）

* ws： ws：通过包含“TypedArray”（CVE-2026-45736）的“websocket.close（）”泄露未初始化的内存

* devalue： devalue：通过反序列化稀疏数组（CVE-2026-42570）消耗过量内存

* tmp：通过未清理的前缀/后缀进行路径遍历，启用目录转义（CVE-2026-44705）

* form-data： form-data：通过 CRLF 注入（CVE-2026-12143）实现表单字段替代

* webpack-dev-server： webpack-dev-server：通过不当代理配置造成的信息泄露和拒绝服务（CVE-2026-9595）

* ws： ws：通过小 WebSocket 片段（CVE-2026-48779）耗尽内存导致的拒绝服务

* extract-zip：github.com/maxogden/extract-zip：extract-zip：通过符号链接验证绕过（CVE-2026-56876）进行任意文件写入和信息泄露

* fast-uri： fast-uri：由于不正确的 Unicode 主机名规范化而导致的安全策略绕过（CVE-2026-13676）

* brace-expansion： brace-expansion：指数时间复杂性造成的拒绝服务（CVE-2026-13149）

* tar：Node-tar：通过畸形 tar 存档标头（CVE-2026-59874）造成的拒绝服务

* tar：node-tar：通过构建的 gzip 炸弹造成拒绝服务（CVE-2026-59873）

* js-yaml： js-yaml：通过构建的 YAML 文档造成拒绝服务（CVE-2026-59869）

* protobufjs： protobufjs：通过构建的 .proto 模式（CVE-2026-59877）造成拒绝服务

* grpc-js：@grpc/grpc-js：通过畸形 HTTP/2 流初始化造成服务器崩溃（CVE-2026-48068）

* linkify-it： linkify-it：通过算法复杂性拒绝服务漏洞（CVE-2026-48801）

* dompurify： DOMPurify：跨站脚本漏洞允许代码执行（CVE-2026-49978）

* brace-expansion： brace-expansion：通过 expand（）函数（CVE-2026-14257）中的内存耗尽造成拒绝服务

* postcss： PostCSS：通过构建的 CSS 输入（CVE-2026-45623）导致的信息泄露和拒绝服务

* postcss： PostCSS：通过构建的 sourceMappingURL （CVE-2026-69153）造成信息泄露

* 大括号扩展：通过不受限制的中间数组造成的 DoS，绕过 CVE-2026-14257 缓解措施（CVE-2026-69152）

* ip-address： ip-address：不一致的 IP 地址解析导致服务器端请求伪造（SSRF）和信任边界绕过（CVE-2026-69192）

错误修复和增强功能：

* 将 RH Podman Desktop 1.1.2 发布到 RHEL 10.2 扩展（JIRA：RHEL-238929）

有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

更新受影响的 rh-podman-desktop 程序包。

另见

https://access.redhat.com/errata/RHSA-2026:57590

https://access.redhat.com/security/updates/classification/#important

https://bugzilla.redhat.com/show_bug.cgi?id=2455470

https://bugzilla.redhat.com/show_bug.cgi?id=2476810

https://bugzilla.redhat.com/show_bug.cgi?id=2477081

https://bugzilla.redhat.com/show_bug.cgi?id=2477914

https://bugzilla.redhat.com/show_bug.cgi?id=2487050

https://bugzilla.redhat.com/show_bug.cgi?id=2487946

https://bugzilla.redhat.com/show_bug.cgi?id=2488480

https://bugzilla.redhat.com/show_bug.cgi?id=2488934

https://bugzilla.redhat.com/show_bug.cgi?id=2489661

https://bugzilla.redhat.com/show_bug.cgi?id=2493633

https://bugzilla.redhat.com/show_bug.cgi?id=2494197

https://bugzilla.redhat.com/show_bug.cgi?id=2494813

https://bugzilla.redhat.com/show_bug.cgi?id=2498116

https://bugzilla.redhat.com/show_bug.cgi?id=2498120

https://bugzilla.redhat.com/show_bug.cgi?id=2498122

https://bugzilla.redhat.com/show_bug.cgi?id=2498127

https://bugzilla.redhat.com/show_bug.cgi?id=2499682

https://bugzilla.redhat.com/show_bug.cgi?id=2500656

https://bugzilla.redhat.com/show_bug.cgi?id=2500695

https://bugzilla.redhat.com/show_bug.cgi?id=2506433

https://bugzilla.redhat.com/show_bug.cgi?id=2507595

https://bugzilla.redhat.com/show_bug.cgi?id=2510719

https://bugzilla.redhat.com/show_bug.cgi?id=2510722

https://bugzilla.redhat.com/show_bug.cgi?id=2510801

https://issues.redhat.com/browse/RHEL-238929

http://www.nessus.org/u?083921a1

插件详情

严重性: Critical

ID: 338414

文件名: redhat-RHSA-2026-57590.nasl

版本: 1.1

类型: Local

代理: unix

系列: Red Hat Local Security Checks

发布时间: 2026/8/20

最近更新时间: 2026/8/20

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus