Amazon Linux 2 ： iscsi-initiator-utils， --advisory ALAS2-2026-3897 （ALAS-2026-3897）
medium Nessus 插件 ID 341873
语言：
简介
远程 Amazon Linux 2 主机缺少安全更新。描述
远程主机上安装的 iscsi-initiator-utils 版本低于 6.2.0.874-7。因此，该软件受到 ALAS2-2026-3897 公告中提及的多个漏洞影响。open-iscsi： open-iscsi： idbm 记录解析中的堆栈缓冲区溢出 （CVE-2026-18724）
open-iscsi： open-iscsi： iscsiuio ICMPv6 回显处理中的越界访问 （CVE-2026-18725）
在 open-iscsi 中发现一个缺陷。此漏洞允许同一本地网络段上的远程攻击者在 iscsiuio 后台程序中造成拒绝服务 （DoS）。通过发送具有零长度选项的特别构建的 Internet 控制消息协议版本 6 （ICMPv6） 路由器公告，攻击者可触发无限循环。这会导致持续的 CPU 使用率，使后台程序失去响应并影响系统可用性。短 IPv6 负载存在次要越界读取风险，但尚未确认会损坏或数据泄露。（CVE-2026-18726）
在 open-iscsi 的 iscsiuio 组件中发现一个缺陷。此漏洞在 IPv6 动态主机配置协议 （DHCPv6） 数据包解析过程中涉及整数下溢和越界读取。
具体而言，用户数据报协议 （UDP） 长度短的特制 DHCPv6 公告流量可造成 DHCPv6 负载长度下溢。邻近网络段上未经认证的攻击者可利用此问题，当客户端处于活动的 DHCPv6 交换时，通过发送特别构建的 IPv6 UDP 流量导致因进程崩溃或服务中断而产生的拒绝服务。（CVE-2026-18727）
在 open-iscsi 中发现一个缺陷。“iscsiuio”组件中的一个整数下溢漏洞（尤其是在 IPv4 动态主机配置协议 （DHCP） 解析期间）允许同一本地网络段上的远程攻击者造成拒绝服务。通过发送特别构建的 IPv4/UDP DHCP 回复，攻击者可触发越界读取，导致“iscsiuio”进程崩溃。此问题影响“iscsiuio”正在主动处理 IPv4 DHCP 流量的系统。（CVE-2026-18728）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行 'yum update iscsi-initiator-utils' 或 'yum update --advisory ALAS2-2026-3897' 以更新系统。另见
https://alas.aws.amazon.com//AL2/ALAS2-2026-3897.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-18724.html
https://explore.alas.aws.amazon.com/CVE-2026-18725.html
https://explore.alas.aws.amazon.com/CVE-2026-18726.html
插件详情
严重性: Medium
ID: 341873
文件名: al2_ALAS-2026-3897.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/8/31
最近更新时间: 2026/8/31
支持的传感器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Low
分数: 3
百分位: 23.61
CVSS v2
风险因素: Medium
基本分数: 6.1
时间分数: 4.5
矢量: CVSS2#AV:A/AC:L/Au:N/C:N/I:N/A:C
CVSS 分数来源: CVE-2026-18728
CVSS v3
风险因素: Medium
基本分数: 6.5
时间分数: 5.7
矢量: CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:iscsi-initiator-utils-debuginfo, p-cpe:/a:amazon:linux:iscsi-initiator-utils-devel, p-cpe:/a:amazon:linux:iscsi-initiator-utils-iscsiuio, p-cpe:/a:amazon:linux:iscsi-initiator-utils
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/8/31
漏洞发布日期: 2026/8/12
参考资料信息
CVE: CVE-2026-18724, CVE-2026-18725, CVE-2026-18726, CVE-2026-18727, CVE-2026-18728