AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2025：2025：1766049566公告中提及的多个漏洞的影响。

  - Go JOSE 在 Go 中提供 Javascript 对象签名和加密标准集的实现，包括对 JSON Web 加密 （JWE）、JSON Web 签名 （JWS） 和 JSON Web Token （JWT） 标准的支持。在版本 4.0.5 之前的 4.x 分支上的版本中，解析压缩 JWS 或 JWE 输入时，Go JOSE 可能使用过多内存。代码使用 strings.Split(token, .) 拆分 JWT 标记，该标记在处理包含大量“.”字符的恶意构建标记时容易受到内存过多消耗的影响。攻击者可通过发送大量畸形标记利用此漏洞，进而导致内存耗尽和拒绝服务。4.0.5 版本修复了此问题。变通方案是，应用程序可预先验证传递给 Go JOSE 的负载，以确保不包含过量的“.”字符。
    (CVE-2025-27144)

  - runc 是一款用于根据 OCI 规范生成和运行容器的 CLI 工具。在 1.4.0-rc.2 版本1.2.71.3.2中，攻击者可通过使用具有共享挂载的争用容器诱骗 runc 错误地将写入 /proc 写入其他 procfs 文件（我们还已验证，使用含有 docker buildx 版本的标准 Dockerfile 可利用此攻击，因为还允许触发并行执行配置了自定义共享挂载的容器）。此重定向可通过 tmpfs 中的符号链接或理论上的其他方法（例如常规绑定挂载）。虽然类似，但应用于相关 CVE CVE-2019-19921的缓解措施相当有限，实际上仅造成 runc 验证写入 LSM 标签时其实际上为 procfs 文件。和 1.4.0-rc.3 版本1.2.81.3.3中已修复此问题。（CVE-2025-52881）

  - 焦油。Reader 未对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数设置最大大小。包含大量稀疏区域的恶意构建的存档可导致阅读器将存档中的无限数据读取到内存中。从压缩源读取时，小型压缩输入可造成大量分配。（CVE-2025-58183）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

AlmaLinux 9.6 [TuxCare] 安全更新：buildah / buildah-tests 多个漏洞（ALMALINUX9.6：CLSA-2025：1766049566）

high Nessus 插件 ID 360471

版本 1.1

检测

AlmaLinux 9.6 [TuxCare] 安全更新：buildah / buildah-tests 多个漏洞 （ALMALINUX9.6：CLSA-2025：1766049566）

high Nessus 插件 ID 360471

版本 1.1

AlmaLinux 9.6 [TuxCare] 安全更新：buildah / buildah-tests 多个漏洞（ALMALINUX9.6：CLSA-2025：1766049566）