远程主机上安装的 ecs-service-connect-agent 版本低于 v1.39.1.0-1。因此，该软件受到 ALAS2ECS-2026-137 公告中提及的多个漏洞影响。

    处理 HTTP/3 连接的 Envoy 代理可以在选择连接池期间取消引用空传输套接字选项。此空指针取消引用属于 CWE-476 缺陷，可能会造成进程崩溃或意外终止，从而导致通过受影响的 Envoy 实例路由的服务拒绝服务。当客户端发起执行连接池选择逻辑的 HTTP/3 会话时，会触发此漏洞，可能为攻击者提供远程执行路径以中断代理。（CVE-2026-48521）

    修复了 ext_authz 原始 HTTP 客户端中的释放后使用，其中完成授权请求时可能会在客户端的完成处理程序仍在执行时销毁客户端。（CVE-2026-50572）

    修复了包含每个段参数的路径的路径匹配，其中 Envoy 和后端可为同一个请求选择不同的资源并绕过基于路径的选择或身份验证。
    (CVE-2026-73511)

    修复了 QUIC HTTP 数据报处理程序中的释放后使用，其中延迟 HTTP/3 数据报可以引用已被破坏或替换的流解码器。（CVE-2026-73512）

    修复了一个堆释放后使用问题，其中不受信任的上游可向使用 oghttp2 的 Envoy 实例发送无 END_STREAM 标志的 HTTP/2 响应尾部，进而损坏流状态并终止进程。
    (CVE-2026-73513)

    修复了 HTML 统计数据接口 （/stats？format=html） 中的存储跨站脚本问题，其中动态命名的统计数据可引入攻击者控制的内容。（CVE-2026-73546）

    修复了处理不具备 :p ath 伪标头的 CONNECT 请求时，ext_authz过滤器中异常进程终止的问题。（CVE-2026-73547）

    修复了涉及通用、非 WebSocket HTTP 升级的跨用户响应中毒，其中在接受升级之前发送的请求负载可污染共享的上游连接。（CVE-2026-73548）

    修复了具有 HTTP/3 的原始 DST 群集中范围 IPv6 客户端地址的异常进程终止。（CVE-2026-73549）

    修复了 HTTP/2 内存耗尽问题，该问题丢弃的重复主机标头不计入请求标头大小和计数限制。（CVE-2026-73550）

    修复了包含参数的点和点点路径段的 URL 规范化，这可造成访问控制组件和上游应用程序以不同方式解释请求路径。（CVE-2026-73551）

    修复了 safe_regex 匹配将接受的非 UTF-8 HTTP 标头字节视为不匹配的问题;在使用负匹配的 RBAC 策略中，这可能会造成故障打开并允许访问受保护的资源。
    (CVE-2026-73552)

    修复了启用 ignore_path_parameters_in_path_matching 时的授权绕过，其中路径如 /admin;x 可在访问受保护的路由时绕过 /admin 的 RBAC 策略。
    (CVE-2026-73553)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2: ecs-service-connect-agent (ALASECS-2026-137)

high Nessus 插件 ID 345786

版本 1.1